.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
2022年底，隨著0ktapus網絡釣魚工具包的發布，Muddled Libra正式出現在公眾視野，該工具包提供了預構建的託管框架和捆綁模板，利用大量用虛假身份驗證的真實門戶進行有針對性的攻擊，攻擊者能夠快速收集憑據和多因素身份驗證MFA代碼。如今0ktapus框架已被商品化，即使是攻擊新手也能獲得很高的成功率。 0ktapus框架功能包括預構建的模板和通過Telegram內置的C2頻道，成本只需幾百美元。
這個工具包所攻擊的目標的數量之多，以至於給攻擊歸屬造成了很多困惑。 Group IB、CrowdStrike和Okta之前的報告已經記錄並將其中許多攻擊映射到以下組織：0ktapus、Scattered Spider和Scatterd Swine。以上三個名字很可能是一個組織，也很可能是使用同一個工具包的三個組織。 Muddled Libra就是其中的一個組織。
Unit 42發現Muddled Libra攻擊時具有以下特點：
马云惹不起马云使用0ktapus網絡釣魚工具包；
马云惹不起马云持續攻擊；
马云惹不起马云非破壞性存在；
马云惹不起马云持續瞄準業務流程外包（BPO）行業；
马云惹不起马云數據被盜；
马云惹不起马云 在下游攻擊中使用受攻擊的基礎設施；
調查表明Muddled Libra使用了一個異常龐大的攻擊工具包，包括社會工程、滲透測試和取證工具，其功能要強於強大的網絡防禦能力。
在Unit 42調查的事件中，Muddled Libra在攻擊目標選擇上非常有針對性，進攻策略也非常靈活。當一個攻擊方法被阻斷時，他們要么迅速轉向另一個方法，要么轉化攻擊環境重新開始攻擊。
Muddled Libra也對現代事件響應（IR）框架有著深刻理解，這使他們能夠不斷修改攻擊策略從而實現攻擊目的。
Muddled Libra更傾向於使用被盜數據來對受害者發起攻擊，如果允許，他們會反复刷新被盜數據集。使用這些被盜數據，即使在最初的事件響應之後，攻擊者也有能力回到以前的受害者那裡。這證明了攻擊者即使在被發現後仍具有持續攻擊能力。
此外，Muddled Libra似乎對他們的攻擊行為有明確的預期和路徑設計，而不僅僅是投機取巧那麼簡單。他們在發動攻擊時，會迅速尋找並竊取了下游客戶端環境中的信息，然後利用這些信息進入到攻擊環境中。他們對高價值客戶以及對後續攻擊最有用的信息有著1前瞻性判斷。
攻擊鏈雖然每一起事件都是獨一無二的，但Unit 42的研究人員已經確定了戰術、技術和程序（TTP）方面的很過共性，可以將多起事件歸因於Muddled Libra。
攻擊鏈
偵察階段Muddled Libra對目標組織有著非常細緻的了解，包括員工名單、職務和手機號碼。在某些情況下，這些數據可能是在早期針對上游目標的攻擊行為中獲得的。
攻擊者還經常從非法數據代理那裡獲取信息包，例如現已倒閉的Genesis和Russian Markets。這些數據通常是從受感染的設備上收集的，包括企業和個人設備，使用的是像RedLine stealer這樣的惡意軟件。
隨著自帶設備（BYOD）政策的早期出現，以及混合工作解決方案的流行，公司數據和憑據被頻繁使用並緩存在個人設備上。分散IT資產的管理和保護為信息竊取惡意軟件創造了一個有利可圖的攻擊機會。
資源開發使用相似域名發起攻擊是Muddled Libra的經典標誌。這種策略是有效的，因為移動設備經常截斷SMS消息中的鏈接。
歸因於0ktapus活動的早期攻擊組織一直使用通過Porkbun或Namecheap註冊並託管在Digital Ocean（一家成立於2012年的總部設置在紐約的雲主機商家，採用KVM虛擬）基礎設施上的域名，這些域往往是短暫的，只在最初的訪問階段使用，然後很快被刪除。
Unit 42注意到攻擊者使用ktapus網絡釣魚工具包來獲取憑證。 Group-IB詳細記錄了這種多用途的工具，在地下組織中廣泛使用。它幾乎不需要什麼技能就可以安裝和配置，這使它成為高度針對性的欺騙攻擊的理想工具。
初始訪問在Unit 42可以確定初始訪問方法的所有事件中，都涉及詐騙或社會工程。在大多數事件中，攻擊者直接向目標員工的手機發送引誘信息，聲稱他們需要更新賬戶信息或重新驗證公司應用程序。消息中包含一個指向偽造公司域的鏈接，該域旨在模仿熟悉的登錄頁面。
持久性MuddledLibra特別專注於維護對目標環境的訪問。雖然攻擊者在攻擊期間使用免費或演示版的遠程監控和管理（RMM）工具是很常見的，但Muddled Libra通常安裝了六個或更多這樣的實用程序。他們這樣做是為了確保即使有一個被發現，他們也能保留一個進入環境的後門。
使用商業RMM工具尤其需要注意，因為這些工具是Muddled Libra正在濫用的合法程序。他們可以合法地出現在組織內，防御者應該權衡是完全阻止還是仔細監控他們。觀察到的工具包括Zoho Assist、AnyDesk、Splashtop、TeamViewer、ITarian、FleetDeck、ASG Remote Desktop、RustDesk和ManageEngine RMM。
這些工具本身都不是惡意的，並且經常用於許多企業網絡的日常管理。 Unit 42建議組織通過簽名者阻止任何不允許在企業內使用的RMM工具。
防禦規避Muddled Libra對各種安全控制及其熟悉，完美地避開了常見的防禦。
具體行為包括：
马云惹不起马云禁用防病毒和基於主機的防火牆；
马云惹不起马云試圖刪除防火牆配置文件；
马云惹不起马云繞過防御者；
马云惹不起马云停用或卸載EDR和其他監控產品；
攻擊者還重新啟用並使用了現有的Active Directory帳戶，以避免觸發公共安全信息和事件管理（SIEM）監控規則。他們還被觀察到在終端檢測和響應（EDR）管理控制台內操作以清除警報。
Muddled Libra在攻擊活動中很謹慎，一直使用商業虛擬專用網絡（VPN）服務來隱藏其地理位置，並試圖融入合法流量。在Unit 42研究人員調查的大多數事件中，Mullvad VPN是首選，但也觀察到許多其他供應商，如ExpressVPN、NordVPN、Ultrasurf、Easy VPN和ZenMate。
Unit 42的研究人員還觀察到了輪流使用住宅代理服務的情況。正如Brian Krebs在2021年報導的那樣，住宅代理服務通常將其代碼隱藏在瀏覽器擴展中，允許運營商將住宅連接出租給合法和惡意攻擊者。
憑據訪問一旦捕獲了用於初始訪問的憑據，攻擊者就會選擇其中一條路徑。在第一種情況下，他們繼續從他們控制的計算機進行身份驗證，並立即請求多因素身份驗證（MFA）代碼。在另一種情況下，他們隨後生成了一系列MFA提示，直到用戶接受其中一個，這種方法也稱為MFA轟炸。
在MFA轟炸失敗的情況下，攻擊者就會聯繫該組織的求助台，聲稱自己是受害者。然後謊稱他們的手機無法操作或放錯地方，並要求註冊一個新的、由攻擊者控制的MFA身份驗證設備。
Muddled Libra在社會工程方面的成功是值得注意的。在許多示例中，該組織通過電話與服務台和其他員工交流，實施攻擊活動。
在建立了立足點後，Muddled Libra迅速採取行動，提升訪問權限。本階段使用的標準憑證竊取工具包括Mimikatz、ProcDump、DCSync、Raccoon Stealer和LAPSToolkit。當該組織無法快速確定提升的憑據時，他們就會使用Impacket、MIT Kerberos Ticket Manager和NTLM編碼器/解碼器。
在一些事件中，Muddled Libra採取了不同尋常的步驟，使用專門的工具，使用MAGNET RAM Capture和Volatility直接搜索內存內容以查找憑據。由於這些都是Muddled Libra正在濫用的合法取證工具，防御者應該仔細考慮阻止它們的不利因素，包括安全團隊活動產生誤報警報的可能性。
這給防御者提出了一個挑戰，儘管用戶帳戶可能通過特權訪問管理受到保護，但終端通常具有緩存用於系統管理或運行服務的提升憑據。應注意確保特權憑據僅具有執行其預期功能所需的權限，並密切監控其是否偏離正常行為。
發現過程muddle Libra的發現方法在不同的示例中是一致的。在調查中，該組織使用了知名的合法滲透測試工具來繪製環境並確定感興趣的目標。他們的工具包包括SharpHound, ADRecon, AD Explorer, Angry IP Scanner, Angry Port Scanner和CIMplant。
事實證明，Muddled Libra還精通商業系統管理工具，如用於發現和自動化的ManageEngine、LANDESK和PDQ Inventory，虛擬環境中使用的VMware PowerCLI和RVTools。
防御者應警惕未經批准的網絡掃描和對多個系統的異常快速訪問或跨邏輯業務部門的訪問。
執行過程調查發現，Muddled Libra似乎主要對數據和憑據盜竊感興趣，我們很少看到遠程執行。當需要時，該組織使用Sysinternals PsExec或Impacket完成執行。捕獲的憑據或身份驗證哈希用於權限提升。
橫向活動對於橫向活動，Muddled Libra更喜歡使用來自受攻擊設備的遠程桌面協議（RDP）。這種方法有助於最大限度地減少日誌中可發現的外部網絡構件，這些構件可以提醒防御者並幫助調查人員進行追踪。
尋找目標數據Muddled Libra似乎非常了解企業數據管理。他們成功地在受害者設備上的各種常見數據存儲庫中找到敏感數據，包括結構化和非結構化數據存儲庫，比如：
马云惹不起马云Confluence；
马云惹不起马云Git；
马云惹不起马云Elastic；
马云惹不起马云Microsoft Office 365 suite (e.g. SharePoint, Outlook)；
马云惹不起马云Internal messaging platforms；
他們還從Zendesk和Jira等常見服務台應用程序中查找受害者環境中的數據。挖掘的數據包括進一步洩露的憑據，它們直接針對敏感和機密信息。
Unit 42的研究人員還觀察到了開源數據挖掘工具Snafler和本地工具在註冊中心、本地驅動器和網絡共享中搜索*password*和securestring等關鍵詞的情況。然後，使用WinRAR或PeaZip對洩露的數據進行分級和存檔。
防御者應定期在自己的環境中執行關鍵字搜索，以識別不正確存儲的數據和憑證。
盜取數據在一些情況下，Muddled Libra試圖建立反向代理shell或secure shell（SSH）隧道，用於命令和控製或盜取。 Muddled Libra還使用了常見的文件傳輸網站，如put[.]io、transfer[.]sh、wasabi[.]com或gofile[.]io來盜取數據，研究人員還觀察到Cyberduck作為文件傳輸代理。
緩解措施Muddled Libra是一個攻擊能力非常強的惡意軟件，對軟件自動化、業務流程外包、電信和技術行業的組織構成了巨大威脅。他們精通一系列安全規範，能夠在相對安全的環境中迅速執行以完成毀滅性的攻擊。
Muddled Libra並沒有任何技術上的創新，只是把目前已有的技術疊加在一起從而產生了很強的攻擊力。
建議組織：1.盡可能實現MFA和單點登錄（SSO），最好是快速身份在線（FIDO）。在我們調查的示例中，Muddled Libra最成功的是說服攻擊目標幫助他們繞過MFA。當他們無法做到這一點時，他們就會更換其他目標。
2.防御者還應考慮如何在多次MFA故障時最好地實施安全警報和帳戶鎖定。
3.實施員工安全意識培訓。 Muddled Libra通過電話和短信大力實施社會工程，包括通過電話和短信幫助台。
4.在發生攻擊的情況下，假設這個攻擊者知道現代IR戰術，考慮建立帶外響應機制。
5.確保證書是最新的，只在必要的時候和時間內授予訪問權限。
6.監控和管理對關鍵防禦和控制的訪問對於防禦熟練攻擊者至關重要。權利應僅限於每個工作職能所必需的內容。應使用Cortex XDR和Cortex XSIAM等身份威脅檢測和響應（ITDR）工具來監測異常行為。
7.防御者應該限制允許連接到網絡的匿名服務，最好是在防火牆上通過App-ID。