Obsidian Vault 陷阱：分析 PHANTOMPULSE RAT 活动

A 最近的安全分析揭示了一场高度针对性的社会工程学活动 (REF6598)，该活动利用流行的笔记应用 Obsidian 来投放一种名为 PHANTOMPULSE 的新型远程访问木马 (RAT)。此次攻击针对金融和加密货币领域的专业人士，展示了心理操纵与技术巧思的复杂结合，特别是利用了 Obsidian 处理社区插件和共享库 (vaults) 的方式。

这场活动特别值得关注，并不是因为 Obsidian 本身存在零日漏洞，而是因为它利用了用户对协作工具的信任，以及在生产力应用中执行第三方代码的固有风险。

攻击解剖

攻击链是一个多阶段过程，早在受害者机器上执行任何代码之前就已经开始了。威胁行为者采用高接触的社会工程学方法，在 LinkedIn 和 Telegram 上伪装成风险投资家，以与目标建立联系。

1. 初始访问与诱饵

一旦建立信任，攻击者就会邀请受害者通过一个共享的、云托管的 Obsidian vault 进行协作。由于 Obsidian vaults 本质上是 Markdown 文件的文件夹和配置设置，它们很容易共享，且对普通用户来说看起来很无害。

2. 执行触发器

当受害者打开共享的 vault 时，攻击就会发生。攻击者依赖于用户启用 "Installed community plugins" 同步功能。虽然 Obsidian 提供了针对此操作的安全警告，但攻击者通过社会工程学说服用户忽略这些警告。

通过启用此功能，受害者会激活预先打包在共享 vault 中的合法插件的恶意版本——特别是 'Shell Commands' 和 'Hider'。这些插件充当了实际恶意软件的网关。

3. 载荷部署：PHANTOMPULL 和 PHANTOMPULSE

恶意插件会执行脚本 (Windows 上的 PowerShell，macOS 上的 AppleScript) 来投放一个名为 PHANTOMPULL 的加载器。该加载器随后会将最终载荷 PHANTOMPULSE RAT 直接解密并加载到内存中。通过避免将最终载荷写入磁盘，攻击者有效地规避了许多传统的基于文件的防病毒检测。

技术创新：基于区块链的 C2

PHANTOMPULSE 最为复杂的方面之一是其命令与控制 (C2) 机制。它并不连接到静态 IP 地址或容易被标记并拦截的域名，而是查询 Ethereum 区块链。

它会寻找来自硬编码钱包地址的最新交易；C2 服务器的当前 IP 地址就嵌入在交易数据中。这种去中心化的方法使基础设施在应对封禁时具有极强的韧性，因为攻击者只需通过在区块链上发送一笔新交易即可更新其 C2 服务器地址。

社区反应与 "插件问题"

此次活动的披露引发了 Obsidian 社区和安全研究人员关于插件系统架构的重大辩论。

社会工程学 vs. 系统设计

一些人认为，因为攻击需要用户手动绕过多个安全警告，所以这纯粹是社会工程学的失败。正如一位社区成员所言：

"Obsidian 已经具备了防止此类攻击的适当保护措施，受害者是被说服去忽略它们。这仅仅是一次成功的社会工程学事件。"

然而，其他人则认为，允许共享 vault 执行代码的机制本身就是一个根本性的设计缺陷。批评者的共识是，该平台的当前设计使其作为共享工具时具有固有的不安全性。

沙箱辩论

攻击发生后的技术讨论集中在缺乏沙箱机制上。批评者认为，在与应用程序相同的空间运行插件代码是一种系统性风险。改进建议包括：

  • 基于解释器的执行： 在受限环境（如 Lua 或 Rhai）中运行插件，而不是原始 JavaScript。
  • 细粒度权限： 实现一个权限系统，使插件在运行时必须明确请求对网络或文件系统的访问权限。
  • 外部隔离： 一些高级用户已经通过以受限权限运行 Obsidian 来采用此方法，拒绝其目录之外的网络和文件系统访问。

缓解措施与防御

对于使用 Obsidian 的用户和组织，建议采取以下步骤以降低类似攻击的风险：

对于用户

  • 审查所有插件： 仅从官方市场安装插件，并避免启用共享 vault 中由不可信来源提供的插件。

  • 避免在共享 Vault 中同步插件： 在打开他人共享的 vault 时，绝不要启用社区插件的同步功能。

  • 最小权限原则： 以标准用户身份而非管理员身份运行应用程序，以限制潜在的攻击范围。

对于安全团队

  • 进程监控： 实现 EDR 规则，当 Obsidian.exe 生成 powershell.exe、cmd.exe、bash 或 osascript 等命令行解释器时发出警报。
  • 网络分析： 监控非区块链应用发起的向 Ethereum 区块链节点或网关的异常出站连接。
  • 文件完整性： 监控 .obsidian/plugins/ 目录，检查是否存在未经授权的修改，特别是发生在官方更新周期之外的修改。

Sources