思科Talos的研究人員近日發現，未知的威脅者正在利用Gophish框架發起網路釣魚攻擊，並散播兩種惡意軟體：DarkCrystal RAT（簡稱DCRat）以及一種尚未記錄的遠端存取木馬PowerRAT。
Gophish是一個開源的釣魚攻擊框架，旨在幫助組織測試其防禦釣魚攻擊的能力，該工具提供簡便的電子郵件模板，使用者可以輕鬆發送和追蹤電子郵件活動。
根據研究，此一攻擊活動主要透過兩種媒介展開：一是基於惡意的Word文檔，另一則是包含惡意JavaScript的HTML文件。受害者在攻擊過程中需要主動介入，以便在其設備上下載並啟用PowerRAT或DCRat，從而進一步威脅其資訊安全。
此次攻擊活動的主要特徵包括：
- 攻擊者可存取受害者的遠端控制，執行任意命令、管理文件和監視使用者行為。
- 攻擊者可以在受害者的設備上，下載並執行其他檔案。
- 透過竊取插件模組，RAT可以從受害者電腦中竊取憑證、文件及財務資訊，並截取螢幕截圖與記錄鍵盤操作。
- RAT會在ProgramData、Pictures、Saved Games 和Windows 開始功能表等資料夾中建立多個偽裝為合法Windows執行檔案的二進位檔案，如csrss.exe、dllhost.exe、taskhostw.exe 和winlogon.exe。也會使用隨機檔案名稱和”.log” 副檔名來隱藏自己的存在。
資料來源: TWCERT-電子報-新興應用資安-Gophish被利用成為網路釣魚攻擊工具
防禦 DarkCrystal RAT 和 PowerRA 等惡意軟體，需要採取一系列的技術措施和最佳實踐。以下是一些主要的防禦策略和可用的方案：體*
- 硬體和軟體防火牆：設置企業防火牆以監控進出流量，阻止可疑的網路連接，並配置安全策略以防止未經授權的訪問 。
- 網路流量監控和入侵檢測系統*用入侵檢測系統 (IDS)：部署 IDS 和入侵防護系統 (IPS) 來檢測和阻止可疑的活動。這些系統可以實時分析流量並警報任何異常行為
- 進行定期安員工如何識別釣魚攻擊、社交工程手法及惡意軟體的常見跡象。使用模擬工具如 Gophish 進行釣魚測試，以提升他們的警覺性 。
- 數據備份和恢復計劃：使定期備份，並能在遭受攻擊時快速恢復 。
. 多因素身份驗證 (MFA)
- 實施 MFA：在所有可能的帳號和系統上啟用多因素身全層，即使密碼遭竊也能保護用戶的帳戶 。
. 使用安全網關和電子郵件過濾
- 電子郵件安全過濾：使用安全郵件閘道，如 Cisco Umbrella，過濾可疑郵件，防止釣魚攻擊和惡意附件進入企業系統 。
