FireEye：无视疫情散布，中国骇客攻击散布在逾20个国家的Citrix与Zoho漏洞

美国资安业者FireEye本周指出，专门替中国-从事间谍行动的骇客集团APT41，并未因武汉肺炎疫情的爆发而偃旗息鼓，反而趁著各国忙着防疫的同时，在今年的1月20日到3月11日间，针对全球的Citrix NetScaler/ADC、思科路由器及Zoho ManageEngine Desktop Central的安全漏洞展开大规模的攻击，波及全球逾20个国家的设备或系统。

被APT41此波攻击锁定的产业，涵盖了金融、建筑、国防工业基地、-组织、健康照护机构、制药、房地产、电信、交通、旅游、高科技、教育机构、制造业、媒体业、石油工业及公用事业等，而且它们分布在北美、欧洲、及亚洲地区等逾20个国家。

根据FireEye的观察，APT41是在1月20日启动新一波的攻击行动，该集团开采了存在于Citrix设备上的CVE-2019-19781漏洞、ManageEngine Desktop Central统一终端管理解决方案的CVE-2020-10189漏洞，以及思科路由器上的CVE-2019-1653与CVE-2019-1652漏洞，以在相关的设备与服务中植入后门。

值得注意的是，这些漏洞都是最近半年内才被揭露或修补的，显示APT41集团的资源非常丰富，且动作迅速。

FireEye也发现，APT41在今年2月2日到2月19日之间几乎毫无行动，猜测可能跟中国-忙着封城与隔离有关。

FireEye指出，这是中国间谍集团最近几年来最广泛的攻击行动之一，APT41在开采上述漏洞之后，于受害系统上植入坊间既有的Cobalt Strike与Meterpreter等木马程式，但依照APT41过去的习惯，该集团会先分析及理解受害组织的内部架构之后，才会进一步部署更先进的恶意程式。