近日，研究人员捕获到多个以印度国防参谋长坠机相关事件为诱饵的攻击文档。当地时间12月8日，印度国防参谋长乘坐一架军用直升机在南部泰米尔纳德邦坠机身亡。此事件也迅速在网络上发酵传播，攻击者利用此类相关事件作为诱饵文档并在文档里利用远程模板注入功能，将含有恶意DDE域代码的文档文件进行远程加载并执行恶意代码下载后续。

详情：

2020年9月，Quick Heal披露了一起针对印度国防军和武装部队人员陆军人员的窃密行动并将其命名为Operation SideCopy。行动始于2019年初，其攻击者主要以复制Sidewinder APT组织的TTPs进行攻击，故被命名为Operation SideCopy。而此次捕获的样本针对性强，使用DDE 恶意域代码进行攻击，与此前南亚地区APT 组织腾云蛇所使用的攻击方式类似，说明该组织在不断模仿南亚地区的多个APT团伙的攻击手法。此外，通过进一步分析，此次所捕获的样本中，大量诱饵信息与印度军事、经济相关，疑似SideCopy APT 组织利用这些信息针对印度展开的一次APT 攻击活动。

本次捕获的样本是利用印度国防参谋长坠机事件为诱饵信息进行攻击。

诱饵文档不包含此类信息，而是通过受害者打开文档，触发CVE-2017-0199 漏洞从攻击者服务器请求携带有诱饵信息以及恶意DDE 域代码的docx 文件进行远程模板注入攻击。

整体攻击流程大致如下：

SideCopy作为近年来才活跃在大众视野范围内的APT组织，其攻击手法及武器代码方面与同地域组织相比都较为青涩，且大多使用网络上开源的代码及工具。但种种迹象表明，SideCopy可能和南亚其他APT 组织之间还存在千丝万缕的联系。