关于近期国内航空航天领域面临APT窃密攻击风险分析
字数 1956 2025-08-10 16:34:28

国内航空航天领域APT窃密攻击风险分析与防御教学文档

一、背景概述

近年来，我国航空航天事业取得重大突破（C919大飞机、天宫空间站、歼-20、神舟系列等），随之而来的是知识产权窃密风险的增加。自2023年初，多个南亚APT组织针对我国科研院所开展定向窃密攻击，航空航天领域成为核心攻击目标。

二、主要APT组织

  1. SideWinder(响尾蛇)
  2. Bitter(蔓灵花)
  3. Patchwork(白象)
  4. Donot(肚脑虫)
  5. CNC组织

这些组织长期针对政府部门、国防军工单位和科研院所进行攻击，主要窃取政策情报、军事秘密、科研进展和知识产权等数据。

三、攻击模式与特征分析

(一) 伪装境外学术期刊钓鱼

  1. 攻击手法：

    • 仅向近期即将发表论文的作者发送"论文校对"或"论文确认"邮件
    • 邮件内容与真实期刊邮件完全相同，包含论文编号、投递时间等真实信息
    • 恶意链接通常以明文形式展示在邮件中

  2. 攻击流程：

    • 获取研究人员邮箱信息
    • 监控论文投递情况
    • 在论文投递后关键时间点发送伪造邮件
    • 可能通过窃取真实期刊邮箱或邮件模板提高可信度

  3. 已知被利用的期刊/出版社：

    名称 组织
    Journalx_kjdb 科技导报
    aippublishing 美国物理联合会出版社
    apcats2023 航空航天技术与科学亚太会议
    hindawicentral Hindawi出版社
    Journalx_yhxb 宇航学报
    sciencedirect sciencedirect期刊
    asmesociety 美国机械工程师学会
    sprintnature 施普林格·自然出版社

(二) 伪装业内专家钓鱼

  1. 冒充领域内知名教授（如韩国教授）发送会议邀请函
  2. 使用真实受邀教师的邮件内容作为模板
  3. 进行多轮邮件交流（可达10轮）以建立信任
  4. 以"核对参会人信息"等理由发送恶意链接或附件

(三) 跨网段U盘传播

  1. 恶意样本特点：

    • 监控新接入的移动存储设备
    • 自动复制到新设备并进行伪装
    • 常见伪装名称："私人图片.png"
    • 具备下载后续样本进行持久驻留的能力

  2. 传播特点：

    • 专门针对高校科研实验室网络架构设计
    • 可跨越隔离网络传播
    • 利用受害者好奇心（即使有安全提醒仍可能点击）

(四) 高度定制化木马

  1. 攻击流程：

    • 钓鱼邮件攻陷主机
    • 进行信息收集
    • 定制开发文档窃取程序
    • 针对特定路径进行窃密

  2. 已知窃取目标：

    • 硬编码的最近文档路径
    • 微信聊天文件路径
    • 其他特定科研文档路径

四、攻击基础设施分析

(一) C2服务器分布

  • 主要分布在欧洲地区

(二) GitHub滥用情况

攻击者使用GitHub作为载荷和C2托管平台，主要账号：

  1. 59degf：

    • 活跃时间：2022年5月-8月
    • 主要仓库：stylefonts
    • 技术特点：
      • 上传伪装pip安装包
      • 使用"jquery-img.css"存放base64编码的GRAT2开源远控
      • 加密存储C2信息

  2. xerox211：

    • 创建时间：2022年9月28日
    • 主要仓库：service
    • 技术特点：
      • 使用GitHub存放加密C2数据
      • 数据格式不断变化调整

  3. kkrightjack：

    • 创建时间：2022年8月23日
    • 行为特点：
      • 快速上传config.json后删除
      • 使用加密字符串存储C2信息

五、防御建议

(一) 邮件安全防护

  1. 实施高级邮件威胁防护解决方案
  2. 对可疑链接进行实时检测和阻断
  3. 建立发件人身份验证机制（如DMARC、DKIM、SPF）
  4. 对境外学术期刊邮件进行特别审查

(二) 终端防护

  1. 部署具有高级威胁检测能力的终端安全解决方案
  2. 禁用或严格限制USB设备使用
  3. 实施应用程序白名单策略
  4. 定期更新和修补系统漏洞

(三) 数据保护

  1. 对敏感科研文档进行加密存储
  2. 实施严格的访问控制策略
  3. 监控异常文件访问行为
  4. 建立数据泄露防护(DLP)系统

(四) 安全意识培训

  1. 针对科研人员开展专项安全意识培训
  2. 模拟钓鱼攻击测试员工警觉性
  3. 建立可疑邮件报告机制
  4. 定期更新最新攻击手法案例

六、应急响应措施

  1. 发现可疑活动立即隔离受影响系统
  2. 保留完整的攻击证据（邮件、文件、日志等）
  3. 进行全面的网络取证分析
  4. 重置可能泄露的凭证
  5. 通知相关主管部门和兄弟单位

七、IoC指标

提供攻击活动中使用的恶意样本MD5哈希值（见原文附录），可用于威胁检测系统规则更新。

八、持续监测建议

  1. 建立针对航空航天领域的威胁情报订阅机制
  2. 监控GitHub等平台上的可疑仓库和账号
  3. 参与行业信息共享与分析中心(ISAC)
  4. 定期评估和更新防御策略

通过实施以上综合防御措施，可有效降低航空航天领域面临的APT窃密攻击风险，保护国家重要科研数据和知识产权安全。

国内航空航天领域APT窃密攻击风险分析与防御教学文档 一、背景概述 近年来，我国航空航天事业取得重大突破（C919大飞机、天宫空间站、歼-20、神舟系列等），随之而来的是知识产权窃密风险的增加。自2023年初，多个南亚APT组织针对我国科研院所开展定向窃密攻击，航空航天领域成为核心攻击目标。 二、主要APT组织 SideWinder(响尾蛇) Bitter(蔓灵花) Patchwork(白象) Donot(肚脑虫) CNC组织 这些组织长期针对政府部门、国防军工单位和科研院所进行攻击，主要窃取政策情报、军事秘密、科研进展和知识产权等数据。 三、攻击模式与特征分析 (一) 伪装境外学术期刊钓鱼 攻击手法 ： 仅向近期即将发表论文的作者发送"论文校对"或"论文确认"邮件 邮件内容与真实期刊邮件完全相同，包含论文编号、投递时间等真实信息 恶意链接通常以明文形式展示在邮件中 攻击流程 ： 获取研究人员邮箱信息 监控论文投递情况 在论文投递后关键时间点发送伪造邮件 可能通过窃取真实期刊邮箱或邮件模板提高可信度 已知被利用的期刊/出版社 ： | 名称 | 组织 | |---|---| | Journalx_ kjdb | 科技导报 | | aippublishing | 美国物理联合会出版社 | | apcats2023 | 航空航天技术与科学亚太会议 | | hindawicentral | Hindawi出版社 | | Journalx_ yhxb | 宇航学报 | | sciencedirect | sciencedirect期刊 | | asmesociety | 美国机械工程师学会 | | sprintnature | 施普林格·自然出版社 | (二) 伪装业内专家钓鱼 冒充领域内知名教授（如韩国教授）发送会议邀请函 使用真实受邀教师的邮件内容作为模板 进行多轮邮件交流（可达10轮）以建立信任 以"核对参会人信息"等理由发送恶意链接或附件 (三) 跨网段U盘传播 恶意样本特点： 监控新接入的移动存储设备 自动复制到新设备并进行伪装 常见伪装名称："私人图片.png" 具备下载后续样本进行持久驻留的能力 传播特点： 专门针对高校科研实验室网络架构设计 可跨越隔离网络传播 利用受害者好奇心（即使有安全提醒仍可能点击） (四) 高度定制化木马 攻击流程： 钓鱼邮件攻陷主机 进行信息收集 定制开发文档窃取程序 针对特定路径进行窃密 已知窃取目标： 硬编码的最近文档路径 微信聊天文件路径 其他特定科研文档路径 四、攻击基础设施分析 (一) C2服务器分布 主要分布在欧洲地区 (二) GitHub滥用情况 攻击者使用GitHub作为载荷和C2托管平台，主要账号： 59degf ： 活跃时间：2022年5月-8月 主要仓库：stylefonts 技术特点： 上传伪装pip安装包 使用"jquery-img.css"存放base64编码的GRAT2开源远控 加密存储C2信息 xerox211 ： 创建时间：2022年9月28日 主要仓库：service 技术特点： 使用GitHub存放加密C2数据 数据格式不断变化调整 kkrightjack ： 创建时间：2022年8月23日 行为特点： 快速上传config.json后删除 使用加密字符串存储C2信息 五、防御建议 (一) 邮件安全防护 实施高级邮件威胁防护解决方案 对可疑链接进行实时检测和阻断 建立发件人身份验证机制（如DMARC、DKIM、SPF） 对境外学术期刊邮件进行特别审查 (二) 终端防护 部署具有高级威胁检测能力的终端安全解决方案 禁用或严格限制USB设备使用 实施应用程序白名单策略 定期更新和修补系统漏洞 (三) 数据保护 对敏感科研文档进行加密存储 实施严格的访问控制策略 监控异常文件访问行为 建立数据泄露防护(DLP)系统 (四) 安全意识培训 针对科研人员开展专项安全意识培训 模拟钓鱼攻击测试员工警觉性 建立可疑邮件报告机制 定期更新最新攻击手法案例 六、应急响应措施 发现可疑活动立即隔离受影响系统 保留完整的攻击证据（邮件、文件、日志等） 进行全面的网络取证分析 重置可能泄露的凭证 通知相关主管部门和兄弟单位 七、IoC指标 提供攻击活动中使用的恶意样本MD5哈希值（见原文附录），可用于威胁检测系统规则更新。 八、持续监测建议 建立针对航空航天领域的威胁情报订阅机制 监控GitHub等平台上的可疑仓库和账号 参与行业信息共享与分析中心(ISAC) 定期评估和更新防御策略 通过实施以上综合防御措施，可有效降低航空航天领域面临的APT窃密攻击风险，保护国家重要科研数据和知识产权安全。