多个中国骇客组织狼狈为奸，锁定东南亚政府机关从事网路间谍活动

中国政府资助的多个骇客组织，自2022年开始联手，针对这3波攻击，研究人员指出，他们发现了新的恶意程式CCoreDoor、PocoProxy，以及EagerBee的变种；再者，对方运用超过15种DLL侧载手法，大部分滥用Windows服务、系统元件、防毒软体档案；此外，他们也发现骇客运用新兴的回避侦测技术，像是覆写记忆体里的ntdll.dll，将Sophos Endpoint Protection防毒软体的代理程式与核心脱钩。值得一提的是，这些攻击的行为模式彼此不同，但根据遭骇的基础设施，以及骇客工作的时间发现交集，研判有人从中居间协调、调度。

对于Cluster Alpha，研究人员看到对方从去年3月初一直到8月进行攻击行动，疑似滥用受害组织网路环境测试不同的技术，并以特殊手法停用防毒软体、提升权限，这些骇客特别优先侦察伺服器映射的子网域、管理者帐号，以及AD相关的基础设施。

这些骇客会借由部署名为EagerBee的恶意软体变种，以窜改封包的功能切断资安系统端点代理程式的通讯；再者，他们借由Merlin Agent、PhantomNet、PowHeartBeat等恶意软体建立C2通道，以便于受害电脑持续活动；附带一提的是，对方用来寄生攻击（LOLBins）的系统元件instsrv.exe、srvany.exe相当不寻常，而能取得SYSTEM权限。

最后一波攻击行动Cluster Charlie持续时间最长，从去年3月至今年4月，研究人员在去年6月的其中一天看到攻击活动激增，骇客对于受害组织网路环境里的事件记录进行大规模分析，并执行网路侦察，而这天正好是受害国家的假日。接著，骇客在几个月中持续进行相关活动，最终泄露敏感资料，包含军事与政治文件、基础设施架构资料，以及相关的凭证及帐密资料。

骇客使用过往未曾揭露的恶意程式PocoProxy进行C2通讯，并部署恶意软体载入工具HUI，企图将Cobalt Strike的Beacon注入mstsc.exe但并未成功。而对于窃取帐密资料的方式，这些骇客将LSASS转译器注入svchost.exe，从网域控制器撷取凭证。