高级电子邮件攻击针对全球组织，威胁窃取 NTLM 哈希值

一个被称为 TA577 的复杂网络威胁已掀起新一轮电子邮件攻击浪潮，旨在渗透全球众多组织的计算机系统和网络。这项精心策划的秘密行动旨在窃取 NTLM 哈希值——这是 Windows 环境中用户身份验证至关重要的编码密码，构成了严重的安全风险。网络安全专家最近的披露揭示了这一威胁的复杂性，敦促各组织迅速加强防御。

电子邮件攻击手段曝光

TA577 的作案手法涉及部署伪装成对先前通信回复的诱饵电子邮件附件。当毫无戒心的受害者打开这些附件时，一系列事件随之发生，导致尝试连接到外部服务器消息块 (SMB) 服务器。虽然这种策略不包含传统恶意软件，但它巧妙地诱使受害者提供 NTLMv2 质询/响应对，从而能够以惊人的效率提取 NTLM 哈希值。

NTLM 哈希被盗的影响远不止于个人密码的泄露。Proofpoint 的研究人员强调，这可能会被用于破解密码或协助进行隐蔽的“哈希传递”攻击，从而在受感染的环境中进行横向移动。此外，被盗的信息（包括计算机名称、域详细信息和用户名）使恶意行为者能够全面了解目标组织，从而指导随后的恶意活动。

紧急行动呼吁

鉴于 TA577 迅速适应和部署新战术的倾向，各组织被敦促立即加强其网络安全态势。Varonis 威胁实验室强调了采取预防措施的重要性，主张阻止出站 SMB 连接以 thwart 潜在入侵。尽管禁用 SMB 的来宾访问可能徒劳无功，但主动缓解策略对于防范不断演变的网络威胁仍然不可或缺。

TA577 采用的渗透战术凸显了网络威胁的持续演变以及主动防御机制的重要性。随着各组织努力保护其数字基础设施，警惕性和先发制人的行动成为对抗网络对手不可或缺的手段。通过听取网络安全专家的警告并实施强大的安全协议，实体机构可以减轻 NTLM 哈希被盗带来的风险，并保护其宝贵的数字资产免受恶意利用。