自今年2月以来，西班牙语用户成为一种名为Poco RAT的新型远程访问木马（RAT）的网络钓鱼攻击目标。攻击主要针对采矿、制造业、酒店业和公用事业行业，利用金融主题诱饵邮件诱骗用户点击指向Google Drive托管的7-Zip存档文件的链接，或通过直接附加的HTML/PDF文件或另一个Google Drive链接进行传播。

🎯 **网络钓鱼攻击：** 攻击者利用金融主题诱饵邮件，诱骗用户点击指向Google Drive托管的7-Zip存档文件的链接，或通过直接附加的HTML/PDF文件或另一个Google Drive链接传播恶意软件。

💻 **恶意软件传播：** HTML文件包含一个链接，点击后会下载包含恶意软件可执行文件的存档。PDF文件也包含指向Google Drive的链接，其中包含Poco RAT。

🛡️ **反分析策略：** 恶意软件包含大量自定义代码，用于反分析、与C2服务器通信以及下载和运行文件，但对监控或收集凭据的关注有限。

🌐 **目标地区：** 攻击者似乎专注于拉丁美洲，因为恶意软件是用Delphi编写的，而Delphi是拉丁美洲银行木马常用的编程语言。C2服务器仅响应来自该地区的受感染计算机的请求。

📈 **攻击趋势：** 攻击者越来越倾向于使用嵌入PDF文件的QR码来诱骗用户访问网络钓鱼页面，以收集Microsoft登录凭据。他们也通过欺骗性网站宣传流行软件来传播恶意软件。

🕵️ **威胁行为者：** 攻击者身份不明，但可能与拉丁美洲的银行木马攻击有关。

🆘 **防御措施：** 用户应谨慎点击链接和打开附件，并确保安装最新的安全软件。企业应加强安全电子邮件网关（SEG）和网络安全措施，以防止此类攻击。

至少从 2024 年 2 月开始，西班牙语受害者是电子邮件网络钓鱼活动的目标，该活动提供了一种名为 Poco RAT 的新远程访问木马 （RAT）。据网络安全公司Cofense称，这些攻击主要针对采矿、制造业、酒店业和公用事业行业。“恶意软件中的大多数自定义代码似乎都集中在反分析上，与其命令和控制中心（C2）进行通信，以及下载和运行文件，而对监控或收集凭据的关注有限，”它说。感染链始于带有金融主题诱饵的网络钓鱼消息，诱骗收件人点击指向 Google Drive 上托管的 7-Zip 存档文件的嵌入式 URL。观察到的其他方法包括使用直接附加到电子邮件的 HTML 或 PDF 文件，或通过另一个嵌入式 Google Drive 链接下载。威胁行为者滥用合法服务并不是一个新现象，因为它允许他们绕过安全电子邮件网关 （SEG）。反过来，传播 Poco RAT 的 HTML 文件包含一个链接，单击该链接后，该链接会导致下载包含恶意软件可执行文件的存档。“这种策略可能比简单地提供直接下载恶意软件的 URL 更有效，因为任何探索嵌入式 URL 的 SEG 只会下载并检查 HTML 文件，这似乎是合法的，”Cofense 指出。PDF 文件没有什么不同，因为它们还包含包含 Poco RAT 的 Google Drive 链接。一旦启动，基于 Delphi 的恶意软件就会在受感染的 Windows 主机上建立持久性，并联系 C2 服务器以提供额外的有效负载。它之所以如此命名，是因为它使用了 POCO C++ 库。Delphi 的使用表明，该活动背后的身份不明的威胁行为者正专注于拉丁美洲，众所周知，拉丁美洲是用编程语言编写的银行木马的目标。由于 C2 服务器不响应来自未地理定位到该区域的受感染计算机的请求，因此加强了这种连接。随着恶意软件作者越来越多地使用嵌入PDF文件的QR码来诱骗用户访问旨在收集Microsoft登录凭据的网络钓鱼页面。它还遵循社会工程活动，这些活动使用欺骗性网站宣传流行软件来提供恶意软件，例如 RAT 和 AsyncRAT 和 RisePro 等信息窃取程序。类似的数据盗窃攻击也针对印度的互联网用户，通过虚假的短信谎称包裹递送失败，并指示他们点击提供的链接来更新他们的详细信息。短信网络钓鱼活动被归咎于一个名为 Smishing Triad 的中文威胁行为者，该行为者有使用受感染或故意注册的 Apple iCloud 帐户（例如“fredyma514@hlh-web.de”）发送短信钓鱼消息进行金融欺诈的历史。“这些行为者在6月左右注册了冒充印度邮政的域名，但没有积极使用它们，可能是在为大规模活动做准备，该活动在7月开始可见，”Resecurity说。“该活动的目标是窃取大量个人身份信息（PII）和支付数据。