大选过后，研究：俄罗斯骇客对美国NGO发动5波网钓攻击

在唐纳川普正式赢得美国总统大选后不到一天，安全研究公司就发现俄罗斯骇客利用对多家美国非政府组织与智库发动网钓邮攻击，借此植入后门程式。 

安全公司Volexity发现11月9日一个名为The Dukes，又名APT 29与Cozy Bear的俄罗斯骇客组织分别透过假造的Gmail账号及入侵哈佛大学文理学院（Faculty of Arts and Sciences）的邮件账号传送5波网钓邮件，受害者包括大批与国家安全或国防、国际事务、公共政策及欧亚研究有关的组织和个人。 

这5封网钓信件中，两封冒充来自希拉里克林顿的克林顿基金会关于败选原因分析，另两封包含有关于选举结果遭窜改的研究文件及eFax连结，最后一封则提供宣称可下载“美国选举问题出在哪”的连结。 

研究人员发现，事实上这波攻击之前，The Dukes今年分别于8月10及25日也发动两次类似的精准鱼叉式钓鱼攻击。当时骇客伪造信件，冒充是来自国际透明组织、新美国安全中心、国际策略研究组织、欧亚集团群及美国外交关系协会等知名智库的邮件，而且“寄信人”都确有其人。 

The Dukes据信已经不是第一次对美国发动攻击。10月间，美国官方正式指控The Dukes/Cozy Bears还涉入入侵民主党全国委员会及美国多个政府组织攻击的行动。           

8月的网钓攻击信件包含看似真实的报告，如.doc或.xls，其中插入宏程式以下载恶意程式downloader。等受害者下载及开启文件后，即会从被入侵的外部服务器下载一个PNG图档，这个图档利用图像隐码术（steganography）隐藏它真正的目的：名为PowerDuke的后门程式。10月美国大学也曾发现这批网钓信件攻击。 

研究人员指出，The Dukes过去入侵防毒及反恶意程式方案颇为成功，它anti VM宏及PowerShell script似乎能大量减少受害者系统发挥防御作用的沙盒和bot，此外它还结合图像隐写，并将后门程式以alternate data streams (ADS)下载，或仅下载到内存中，这些是颇为创新的手法。Volexity相信Dukes可能正在对智库及非政府组织进行发动长期入侵，未来可望还会持续发动攻击。