Cyble 研究与情报实验室 (CRIL) 研究人员发现了一项新的 SideCopy 活动。此前曾观察到该威胁组织针对南亚国家，特别是印度和阿富汗的政府和军事目标。
该活动自 2023 年 5 月开始活跃，通过复杂的感染链针对大学生，其中包括恶意 LNK 文件、HTAs 和伪装成合法文档的加载程序 DLL。最终，该活动部署了Reverse RAT 和 Action RAT 等恶意软件负载，使攻击者能够对受感染的设备进行广泛的控制。
该研究探讨了 SideCopy 所采用的策略，例如他们最近对大学生的关注，以及与透明部落 APT 组织的活动可能重叠。
SideCopy活动感染链的技术分析
5 月初，CRIL 发现了 SideCopy 组织在其运营中使用的恶意域。该网站被发现托管一个名为“files.zip”的 ZIP 存档文件，其中包含标记为“economy”、“it”和“survey”的子目录。调查目录包含与 SideCopy 之前在其早期活动中使用的文件类似的文件。![]()
来源：Cyble
该活动可能使用垃圾邮件来分发通过受感染网站托管的恶意 ZIP 存档作为初始感染媒介。这些档案包含伪装成合法文档的恶意 LNK 文件，例如“IT Trends.docx.lnk”。
执行后，LNK 文件会触发一系列命令，然后继续下载并执行恶意 HTA 文件。下载的 HTA 文件包含附加诱饵文档和 DLL 文件中的嵌入有效负载。诱惑文件通常以时事或相关学术主题为主题，以使目标人群显得合法。