卡巴斯基揭露秘密骇客组织DarkUniverse

自称为影子掮客（Shadow Brokers）的骇客组织，宣称骇进了美国国安局（NSA）旗下的秘密网络攻击组织“方程式”（Equation Group），并在2017年释出了NSA所使用的各种攻击工具，不过，卡巴斯基实验室（Kaspersky Labs）本周指出，他们在影子掮客所公布的文件中，发现了存有大量先进持续性威胁（Advanced Persistent Threat，APT）集团的名单，而其中之一即为DarkUniverse。

根据ZDNet的报导，NSA固定会侦测被骇系统上其它的ATP骇客，大约搜集了44个APT集团，有许多是名不见经传的，也透露出NSA对于由-支持之骇客集团的了解，可能胜过不少资安业者。

卡巴斯基的分析则显示，DarkUniverse的活动期间为2009年到2017年，针对特定目标发动鱼叉式网钓攻击，每封邮件都是替不同的攻击对象量身打造，再以Office档案夹带恶意程式。

DarkUniverse所使用的其中一个恶意模组为glue30.dll ，主要的功能为键盘侧录，它会拦截未加密的POP3流量以搜集受害者的电子邮件通讯与凭证。另有一个功能强大的dfrgntfs5.sqt模组，它可拍摄屏幕画面，在IE注入介壳程式以与骇客所掌控的C&C服务器通讯，扫描局域网络，搜集所有系统资讯，也能自动更新或移除，具备中间人攻击能力，还能设定机器的DHCP与DNS。

研究人员循线找到了20名被DarkUniverse锁定的对象，他们分别位在叙利亚、伊朗、阿富汗、坦桑尼亚、埃塞俄比亚、苏丹、俄罗斯、白俄罗斯与阿拉伯联合酋长国，身份可能是平民或军事组织，研究人员相信这8年来的受害者数量应该远高于此。

卡巴斯基表示，DarkUniverse是个有趣的网络间谍案例，所使用的恶意程式包含了可搜集所有使用者与系统资讯的必要模组，而且看起来是从零到有的研发，骇客不但资源丰富，还会持续更新恶意程式，使得2017年的恶意程式样本与2009年的截然不同。

不过，DarkUniverse已经在2017年停止攻击行动，猜测可能与事迹败露有关，或者只是决定要采用更现代化的攻击手法。