俄羅斯駭客Midnight Blizzard利用惡意RDP組態檔案，入侵全球超過100個組織的網路環境

近期代號為APT29、UNC2452、Cozy Bear的俄羅斯駭客組織Midnight Blizzard攻擊行動頻頻，上週烏克蘭電腦緊急應變團隊（CERT-UA）警告這些駭客利用遠端桌面連線（RDP）組態檔案從事攻擊行動，並指出駭客在8月就開始架設基礎設施，本週微軟表示，這可能是全球大規模攻擊的一部分。

微軟威脅情報中心指出，他們從10月22日開始，發現Midnight Blizzard的大規模網釣攻擊行動，這些駭客向政府、學術界、國防、非政府組織等機構發送高度針對性的釣魚郵件，有超過100個組織、數千人成為目標。這些釣魚信的共通點在於，駭客挾帶了帶有簽章的RDP組態檔案。研究人員推測，這起攻擊的主要目標，是進行情報的收集。

這起攻擊行動的範圍相當廣，英國、歐洲、澳洲、日本是主要目標，但還有數十個國家也出現相關攻擊。

值得一提的是，駭客使用的誘餌當中，有部分會冒充微軟的員工來引誘收信人上當，但研究人員也看到假冒其他雲端服務業者，或是與零信任概念有關的誘餌。

針對釣魚信裡挾帶的附件檔案，研究人員指出是經Let's Encrypt憑證進行簽章的RDP檔，這些組態檔案內含多項敏感配置，很有可能引發資訊洩露。

一旦目標系統遭到入侵，將會與攻擊者控制的伺服器連線，並以雙向對應方式（bidirectionally mapped）將受害電腦連接的周邊裝置與暫存資料，掛載到攻擊者控制的伺服器。這些資源包含本機硬碟、剪貼簿內容、印表機與其他連接到電腦的外部裝置，甚至連Windows身分驗證功能相關的設施（如智慧卡），也在共享的範圍裡面。研究人員提及，使用者登入電腦的帳密資料，也可能會因此曝露給駭客。

接著，攻擊者便能在受害電腦或是共享的網路硬碟植入惡意軟體，尤其是可能部署RAT木馬程式等其他工具，以便在RDP連線中斷後持續存取受害電腦。