俄APT28 利用 “NotDoor” Outlook 后门攻击北约国家分析报告【红客联盟 AI 分析】

一、报告基础信息

情报来源：红客联盟官方门户 | https://www.chnhonker.com/3357.html
情报编号：HK-MW-202509053357
分析主体：红客联盟 AI 智能安全分析员
分析目标：解析俄罗斯 APT28 组织部署 “NotDoor” Outlook 后门的攻击策略、技术原理、攻击链及隐蔽手段，为北约成员国企业防御 APT 攻击提供依据。
报告声明：本报告基于 S2 Grupo LAB52 与 360 威胁情报中心数据，仅供安全防御参考，不构成攻击溯源的法律依据。

二、威胁主体与攻击目标概况

（一）威胁组织：APT28（俄罗斯政府支持）

组织定位：又称 “Fancy Bear”，与俄罗斯总参谋部情报总局（GRU）关联，长期从事国家层面的定向攻击，以 “隐蔽性强、技术持续进化” 为特征；
攻击历史：曾参与 2016 年美国民主党全国委员会（DNC）入侵、世界反兴奋剂机构（WADA）数据泄露等重大事件，此次是其首次针对 Outlook 开发专用 VBA 后门。

（二）攻击目标与范围

地域聚焦：北约成员国企业，覆盖国防合作、能源、科技、制造等关键行业（文档未明确具体国家，但强调 “北约成员国” 属性）；
攻击目的：通过 Outlook 后门实现 “长期潜伏 + 敏感数据窃取 + 远程控制”，疑似服务于俄罗斯地缘政治情报收集需求。

三、“NotDoor” 后门核心技术细节

（一）后门本质与命名来源

技术属性：基于 Microsoft Outlook 的VBA 宏后门，嵌入 Outlook 的 VBA 项目中，通过混淆代码躲避静态分析；
名称由来：源代码中频繁使用 “Nothing” 关键字（用于 VBA 变量清空操作），由 S2 Grupo LAB52 团队命名为 “NotDoor”；
核心功能：监控 Outlook 邮件触发词、执行命令、窃取文件、上传恶意文件，实现 “隐蔽通信 + 数据泄露” 双重目标。

（二）部署与持久化技术（DLL 侧加载 + 注册表篡改）

初始部署：DLL 侧加载
- 载体：滥用 Microsoft 合法进程OneDrive.exe（经微软签名，规避安全工具拦截）；
- 流程：通过OneDrive.exe加载恶意 DLL 文件SSPICLI.dll，该 DLL 执行后自动安装 NotDoor VBA 后门；
- 关键操作：运行Base64 编码的 PowerShell 命令，完成三项核心配置：
  - 信标通信：向攻击者控制的webhook[.]site发送 “设备感染成功” 信标；
  - 禁用宏安全：修改 Outlook 宏设置，关闭宏运行警告，允许 VBA 后门静默执行；
  - 关闭弹窗：禁用 Outlook 相关对话消息（如 “宏已运行” 提示），逃避用户察觉。
持久化机制：注册表修改
- 通过修改 Windows 注册表（具体路径未公开），确保 Outlook 每次启动时自动加载 NotDoor VBA 项目，无需二次部署；
- 即使 Outlook 重启或系统更新，后门仍能保持驻留，实现 “一次感染，长期控制”。

（三）运行机制与数据窃取流程

1. 触发与执行逻辑

NotDoor 依赖 Outlook 两个核心事件实现 “实时响应”：

Application.MAPILogonComplete：Outlook 启动并完成邮件登录时，自动运行 VBA 后门有效负载；
Application.NewMailEx：新邮件到达收件箱时，触发后门检测 “触发词” 并执行对应命令。

2. 数据暂存与泄露

暂存目录创建：检查%TEMP%\Temp路径，若不存在则自动创建，用于存储窃取过程中生成的 TXT 文件（记录命令执行结果、文件列表等）；
数据加密与泄露：
- 窃取的文件 / 命令输出通过 “自定义加密技术” 编码，避免传输过程中被拦截；
- 加密后的数据以 “电子邮件附件” 形式，发送至攻击者控制的Proton Mail 地址（匿名邮箱，溯源难度高）；
- 数据发送完成后，立即删除%TEMP%\Temp目录下的 TXT 文件，清除感染痕迹。

3. 支持的四类恶意命令

命令类型	功能描述	危害程度
`cmd`	执行系统命令（如`ipconfig`、`dir`），并将命令输出以邮件附件返回给攻击者	高（泄露系统信息）
`cmdno`	执行系统命令，但不返回输出（如静默删除文件、修改配置）	中（隐蔽破坏）
`dwn`	窃取受害者计算机文件（如文档、表格），通过邮件附件发送给攻击者	高（敏感数据泄露）
`upl`	将攻击者控制的文件（如其他恶意软件）上传至受害者计算机	高（横向渗透）

4. 触发词机制

后门监控传入邮件内容，仅当检测到特定触发词（如 “每日报告”）时，才解析邮件中嵌入的恶意命令并执行；
触发词与命令通常隐藏在邮件正文或附件中，以 “正常业务内容” 为掩护（如 “每日报告需执行以下操作：[cmd] ipconfig [/cmd]”），规避安全工具关键词检测。

四、攻击链与隐蔽技术升级

（一）完整攻击链拆解

初始分发：通过未知向量（推测为钓鱼邮件、恶意文档）传播含OneDrive.exe与SSPICLI.dll的恶意包；
DLL 侧加载：OneDrive.exe加载SSPICLI.dll，触发 VBA 后门安装；
后门驻留：修改注册表与 Outlook 宏设置，实现持久化；
隐蔽通信：利用 Outlook 邮件事件触发命令，通过 Proton Mail 泄露数据；
横向渗透：通过upl命令上传 PteroLNK 类 Visual Basic 脚本，该脚本可自动复制到连接的 USB 驱动器，感染其他设备。

（二）关键隐蔽技术（四层混淆）

360 威胁情报中心指出，此次攻击采用 “四层混淆” 技术，实现全链路隐蔽：

注册表持久性混淆：修改非标准注册表路径，躲避安全工具对 “常见持久化位置” 的扫描；
动态编译：VBA 代码在运行时动态编译，无固定特征码，传统杀毒软件难以识别；
路径伪装：恶意文件（如SSPICLI.dll）伪装成系统正常组件，存储在System32或OneDrive安装目录；
云服务滥用：
- 滥用Microsoft Dev Tunnels（devtunnels.ms） 作为 C2 基础设施：利用该服务 “掩盖原始 C2 IP”（通过微软中继节点转发）、“每分钟重置域名”（快速轮换节点），规避 IP 信誉拦截；
- 利用虚假 Cloudflare Workers 域分发脚本：借助 Cloudflare 的可信流量特征，降低恶意脚本被拦截概率。

五、关联威胁与防御建议

（一）关联威胁：Gamaredon 组织技术呼应

文档提及，此次 NotDoor 攻击披露时，360 威胁情报中心同步发现俄罗斯另一 APT 组织Gamaredon（APT-C-53） 也在升级技术 —— 使用 Telegram 旗下的 Telegraph 作为 “死信解析器” 指向 C2，与 APT28 “滥用云服务隐蔽 C2” 的思路高度一致，暗示俄罗斯 APT 组织可能存在技术共享。

（二）防御建议（针对北约成员国企业）

端点防护强化：
- 部署支持 “VBA 宏行为分析” 的 EDR 工具，监控Application.MAPILogonComplete等 Outlook 异常事件；
- 拦截OneDrive.exe加载非官方SSPICLI.dll的行为，禁止 DLL 侧加载；
- 禁用 PowerShell Base64 编码执行（通过组策略），阻断后门的初始配置命令。
Outlook 安全配置：
- 强制启用 Outlook 宏安全最高级别（“仅允许已签名宏”），禁用未签名 VBA 项目运行；
- 定期清理%TEMP%\Temp目录，检查是否存在异常 TXT 文件；
- 监控发往 Proton Mail 的异常邮件，尤其是含加密附件的 Outlook 出站邮件。
云服务监控：
- 排查企业网络中对devtunnels.ms、webhook[.]site的访问，阻断与攻击者 C2 的通信；
- 审核 Cloudflare Workers 域名，识别虚假域名并加入黑名单。
员工培训：
- 警惕含 “每日报告” 等触发词的陌生邮件，不打开未知来源的 OneDrive 共享文件；
- 禁止 USB 驱动器随意接入办公设备，避免横向感染。

版权声明·<<<---红客联盟--->>>>·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。

联系我们：admin@chnhonker.com

{{userData.name}}已认证