McAfee：国家级骇客攻击藉恶意Word文件散布后门程式瞄准人道团体
示意图，与新闻事件无关。
McAfee安全研究人员发现一桩国家级骇客攻击行动，利用Word文件散布后门程式以入侵人道救助团体。
McAfee进阶威胁研究小组今年1月15日及1月中分别发现数批韩文恶意Word文件。研究人员追查样本信件来源大部分发送自位于韩国的代管免费邮件账号，显示锁定韩国的人士。另一批文件则以北朝鲜红十字会分部为主旨，诱使用户开启。文件分析显示恶意程式作者名为Honeybee，McAfee因而将骇客行动命名为蜜蜂行动（Operation Honeybee）。去年11月也曾散布过名为的NTWDBLIB的恶意安装程式。
蜜蜂行动散布的数波文件中全部都使用VB宏，受害者开启后便会植入曾在2017年8月流行的SYSCON的变种后门程式。SYSCON为去年8月借由北朝鲜相关主题散布的后门程式，利用外部FTP服务器作为远端程控的C&C服务器，并自受害者装置搜集资讯。
除了后门程式外，研究人员还发现蜜蜂攻击散布名为MaoCheng的Win32病毒植入执行档（dropper），它使用被窃的Adobe数位凭证以躲过Windows的验证机制，并安装冒充Word的文件，用户开启后，MaoCheng即会以文件受到保护，要求使用者同意“启动内容”以读取文件。一旦用户同意后即放行骇客存取资讯。研究人员相信，MaoCheng可能是为了此次行动而特地制作的攻击工具。
McAfee研究人员虽然搜集到许多资料，但并未说明是否来自北朝鲜，仅表示蜜蜂行动背后组织为操韩语人士，其运用诱骗式信件主旨的手法也和韩国之前发生的攻击行动类似。他们以蜜蜂行动的策画精细程度、部署速度等特征判断为国家背后资助的攻击行动。攻击者可能目标在人道救援及两韩事务的人士，同时活动范围也从原本的韩国境内，逐渐散布并锁定其他国家，包括越南、新加坡、日本、印尼及加拿大的人道救助组织。
