一直以中東的工業組織為目標的WildPressure APT 組織，現在被發現使用一種針對Windows和macOS的新惡意軟件。

[[410448]]

7月7日，卡巴斯基公布了一個新發現，在2020年3月被發現的Milum惡意軟件現已通過PyInstalle包進行了重組，其中包含了與Windows和macOS系統兼容的木馬程序，被黑的網站可被該APT組織用來下載和上傳文件并執行命令。

卡巴斯基的研究人員表示，這個名為“Guard”的木馬是針對Windows和macOS系統而開發的。

這種基于Python的新木馬通常使用公開的第三方代碼。也就是說，一旦執行，它就會收集系統信息(即機器的主機名、機器架構和操作系統發布名稱)，并將這些信息發送至遠程服務器。惡意代碼還會列舉正在運行的進程，以檢查已安裝的反惡意軟件產品，然后等待C2服務器的命令。

該木馬支持多種命令，包括下載和上傳任意文件、執行命令、更新木馬，以及清理、刪除持久性和受感染主機的腳本文件。

此外，研究人員還發現了一些以前未知的基于C++的插件，這些插件被用來收集被攻擊系統的數據。

在此次攻擊中，除了商業vps，該APT組織還利用了被入侵的合法WordPress網站以充當“Guard”木馬的中繼服務器。

雖然沒有“實錘”，但卡巴斯基推測這次他們的目標應當為石油和天然氣行業。

值得一提的是，通過對此次樣本的分析，卡巴斯基還發現該組織的技術與另一個名為BlackShadow的APT 組織所使用的技術略有相似之處，而后者也是針對中東地區的組織。或許該發現會成為之后組織歸因的重要依據。

WildPressure 真實身份依然未知

WildPressure于2019年8月首次被發現。當時研究人員檢測到一個從未見過的惡意軟件，并將其稱為Milum，也就是此次發現的惡意軟件的“原型”。

該木馬是用C++語言編寫的，被用來針對中東地區的組織發起攻擊。可確定的是，其中一些組織與工業部門有關。

在對其進行進一步調查之后，研究人員發現早在2019年5月Milum惡意軟件的其他版本就已經感染了一些系統。

目前為止，還沒有觀察到Wild Pressure與任何已知組織之間存在基于代碼或受害者的強烈相似之處。

他們的C ++代碼非常普遍，涉及配置數據和通信協議，惡意軟件使用存儲在二進制文件資源部分中的base64編碼的JSON格式的配置數據，并使用標準模板庫(STL)函數進行解析。但是，這些共通性對于歸因而言還沒有足夠的結論性。