Facebook关闭了APT32在网络攻击中使用的账户

Facebook已经关闭了其平台上的几个账户，越南的APT32组织和一个位于孟加拉国的不知名的威胁组织，这两个网络犯罪集团利用这些账户和页面发起了钓鱼攻击和恶意软件攻击。

这家社交媒体巨头表示，现在已经禁止了这两个团伙滥用平台、传播恶意软件和攻击其他账户的行为。一项新的分析称，这两个团伙没有任何的关系，他们利用了”完全不同 “的策略来针对Facebook用户进行攻击。

安全政策主管Nathaniel Gleicher和Facebook网络威胁情报经理Mike Dvilyanski在周四的一篇文章中说，”来自越南团伙攻击行动主要在于向目标发送恶意软件，而来自孟加拉国的攻击行动则专注于通过跨平台来攻击账户，使目标账户和页面从Facebook上删除”。

APT32，又称OceanLotus，是一个有越南背景的的高级持续性威胁(APT)组织，至少从2013年就开始运作了。最近，又发现该组织与针对亚洲Android用户的间谍活动有关(在4月份被卡巴斯基称为PhantomLance的攻击)。

Facebook表示，APT32利用平台主要是针对越南的人权活动家，以及多个外国政府(包括老挝和柬埔寨的政府)、非政府组织、新闻机构和一些企业。

该威胁组织创建了Facebook页面和账户，以便通过网络钓鱼和恶意软件攻击的方式来锁定特定的用户。在这里，APT23使用了各种社会工程学攻击方式，冒充活动家或商业实体，来使得自己的身份显得更加可信。

在这些页面的伪装下，APT32会说服目标通过合法的Google Play商店下载安卓应用，而这些应用又有各种权限，所以可以对受害者的设备进行监控。Threatpost已经联系了Facebook，希望进一步了解这里所使用的具体应用。谷歌发言人也向Threatpost证实，这些攻击中使用的应用已经从Google Play中删除。

除了手机应用之外，APT32还会利用这些账户来欺骗受害者点击被入侵了的网站–或者是他们自己创建的网站，通过加入恶意(混淆)的JavaScript，入侵受害者设备然后进行水坑攻击。作为这种攻击的一部分，APT32还开发了特定的恶意软件，它将检测受害者的操作系统(Windows或Mac)，然后向他们发送一个定制的payload，然后执行恶意代码。

Facebook还观察到APT32在其攻击中使用了以前使用过的策略–例如使用文件共享服务的链接，包括短链接，并在这些服务中托管恶意文件然后受害者会点击并进行下载。

“最后，该团伙还使用了微软Windows应用程序中的动态链接库(DLL)进行侧道攻击，”Facebook说。”他们开发了.exe、.rar、.rtf和.iso格式的恶意文件，还制作了包含恶意链接文本的Word文档。”

根据Facebook的说法，”我们的调查结果将这一攻击活动与CyberOne集团联系起来，这是越南的一家IT公司(也称为CyberOne Security、CyberOne Technologies、Hành Tinh Company Ltd.、Planet和Diacauso)。”

Threatpost已经联系到CyberOne集团，希望其发表评论;并且还联系到了Facebook，询问将这家公司与该活动联系起来的具体证据。

同时，总部设在孟加拉国的黑客攻击者以当地的社会活动家、记者和少数宗教群体为目标，攻击他们的Facebook账户。Facebook声称，Don’s Team(又称Defense of Nation)和犯罪研究与分析基金会(CRAF)，他们在这项攻击活动中发现了与孟加拉国的这两个非营利组织之间的联系。

该公司称，这些团伙一块举报Facebook用户违反了社区标准的行为–如涉嫌冒充、侵犯知识产权、裸露和恐怖主义等行为。此外，这些团伙据称还入侵了Facebook用户的账户和页面，并达到自己的攻击目的。

“曾经有多次，页面的管理员账户被入侵后，他们删除了其余管理员，接管并禁用了该页面。”Facebook表示。

Threatpost联系了Don’s Team和CRAF，希望他们能够做进一步的评论。Don’s Team发言人告诉Threatpost，”最近对Don’s Team的指控完全是误导的。”

“我们与最近孟加拉国的关于Facebook的攻击无关，”该发言人说。”Don’s Team是一个社交媒体认识和咨询平台。我们帮助人们解决各种与Facebook相关的问题。由于Facebook在孟加拉国没有任何子公司，用户会遇到许多与Facebook帐户，页面或者组有关的问题。因此，作为一个社交媒体咨询团队，当他们的帐户被黑客攻击而不能访问账户时，我们来帮助这些用户。当账户被禁用时，按照Facebook的社区标准，我们帮助受害者恢复他们的账户。”

Facebook警告说，以前已经删除了攻击者使用的平台的账号，这些行为背后的攻击者是一个”狡猾顽固的对手”。

Gleicher和Dvilyanski说：”我们将尽可能地继续分享我们的发现，以便于让人们看到我们所发现的威胁攻击，并采取措施来增强他们的账户安全”。