7 月 17 日，SandBlast零日防護開(kāi)始顯示出大規模的電子郵件攻擊，而此次攻擊并未被傳統 AV 解決方案捕獲。截至攻擊后第 4 天，Check Point 已攔截到 5,000 個(gè)不同的攻擊樣本，VirusTotal 卻僅有少量樣本，其中半數無(wú)法被任何 AV 掃描引擎檢測到，其余樣本被檢測到的次數也是屈指可數。
此次攻擊與會(huì )發(fā)送空白內容電子郵件的“BlankSlate”垃圾郵件攻擊有關(guān)，在此例中則是發(fā)送空白主題的電子郵件給用戶(hù)，同時(shí)惡意有效負載會(huì )被加載到以如下形式命名的附件壓縮文件中 - EMAIL_NNNNNN_AAAAAA.zip。
該附件包含一個(gè)被嚴重混淆的下載和執行JavaScript文件，以及大量關(guān)于不同國家和城市的維基百科文章的盜用文本。
SandBlast將附件解壓，避免因仿真JavaScript文件造成的混淆，并識別其與惡意命令和控制服務(wù)器之間的通信。
為避免被加入黑名單，本次攻擊的C&C域會(huì )迅速變化；所有域均為近期注冊并具有以下模式：hxxp://sitename.tld/（support|admin）。phpf=1.doc
它們在 VirusTotal 上的檢測率也非常低，65 個(gè)信譽(yù)服務(wù)中大約僅能檢測出 5 個(gè)。
C&C 為此利用流量重定向腳本，并阻止一些國家和 ISP訪(fǎng)問(wèn)該站點(diǎn)。
針對依據地理定位（例如美國）而選定的目標，C&C將返回一個(gè)BTC勒索軟件有效負載。該勒索軟件要求轉賬0.5比特幣到以下地址 - 1DCZzWZuCwWptG6e1H5D65HyuQyxp2SVWP，并將交易頁(yè)面截圖發(fā)送到中國電子郵箱 - chines34@protonmail.ch 。
Check Point 就此提出下列建議：
- 除非您確定郵件附件來(lái)自已知情景中的已知人員，否則請勿打開(kāi)。
- 使用高級惡意軟件防護解決方案。
- Check Point SandBlast 客戶(hù)受到保護，免于此威脅。
Check Point以色列捷邦安全軟件科技有限公司
Check Point以色列捷邦安全軟件科技有限公司（www.checkpoint.com.cn）是全球最大的專(zhuān)注于安全的解決方案提供商，為各界客戶(hù)提供業(yè)界領(lǐng)先的解決方案抵御惡意軟件和各種威脅。Check Point提供全方位的安全解決方案包括從企業(yè)網(wǎng)絡(luò )到移動(dòng)設備的安全保護，以及最全面和可視化的安全管理方案。Check Point現為十多萬(wàn)不同規模的組織提供安全保護。
