近日，Check Point Research科学研究精英团队发觉了一起规模性的进攻行動，该行動已存有很多年，一直根据Facebook页面向客户散播恶意手机软件，且总体目标我国只有一个——利比亚。

攻击者运用了利比亚焦虑不安的政治局势，根据含有利比亚全新轰炸或追捕 *** 信息的垂钓文本文档诱惑受害者点一下连接并免费下载恶意文档。

大家的调研起源于Facebook上一个装扮成利比亚国民革命军指挥者哈利法·哈夫塔(Khalifa Haftar)的本人页面。除开出任海军大元帅外，哈夫塔還是利比亚政治舞台上的一位重要人物，在利比亚不断持续的内部战争中，他作为一名国防领导人员充分发挥了关键功效。

根据此Facebook页面，大家上溯了恶意主题活动身后的攻击者，并掌握到她们很多年来是怎样运用社交媒体网上平台、毁坏合理合法网址来代管恶意手机软件的，而且大家发觉，受害者不计其数，除开关键来源于利比亚以外，在欧州、英国和澳大利亚等地也是有一些客户悲剧有没有中招。

最终大家向Facebook汇报了调查报告，Facebook对这种页面和帐户干了禁封解决。

以哈夫塔的为名垂钓

这一装扮成哈利法·哈夫塔的Facebook首页建立于2019年4月初，自那以后早已吸引住了超出1.一万名粉絲。该页面共享过一些政冶主题风格的贴子，在其中包含说白了“利比亚泄漏资源”的下载网址，例如“揭秘伊朗或土尔其等国合谋 *** 利比亚”的文档，也有一些下载地址偏向了挪动应用软件，为名上是为了更好地有心添加利比亚武装部队的中国公民设计方案的:

但点一下这种连接后将免费下载Windows自然环境下的恶意VBE或WSF文档，或者Android自然环境下的APK文档。威协个人行为者挑选的是开源系统专用工具并非自身开发设计的专用工具，并且用一些已经知道的远程访问专用工具(rat)，如Houdini、Remcos和SpyNote等来感柒受害者。恶意样版一般 储存在例如Google Drive、Dropbox、Box等文档托管服务中。

Facebook以外

但Facebook页面的登录名(@kalifhafatr)却拼写错误了Haftar的姓名，可能是攻击者有心而为。在 *** 上搜索该错名会获得一个同名的的Blogger账号，自2015年至今一直活跃性，管理 *** 过好几个blog首页:

账户近期发布的文章内容中也应用了Haftar的姓名，会在客户浏览时自动下载恶意VBE:

反复的拼写错误

另一个能表明该页面存在的问题的行为是，基本上每章文章内容上都有很多拼写错误。哈夫塔的姓名并并不是Facebook页面上唯一的语法错误，这种贴子中也有许多语法错误的英语单词。下边是在其中一篇文章，突显的全是英语的语法上的不正确:

这种不正确绝大多数全是反复的，有一些贴子应用的英语单词在阿语中并不会有，由于创作者本来就准备有意缺乏一些英文字母(比如“Pove”而不是“Prove”)。

发掘出大量Facebook帐户

根据搜索一些不正确用语的组成，我们在Facebook的网页页面上看到了很多反复一样不正确的贴子，好像是由同一人所做。自2014年至今，有30好几个Facebook个人中心一直在散播恶意连接，在其中一些账户活跃性很多年，粉絲诸多。下列是大家发掘到的首页中最火爆的前五个:

回望这些年的主题活动大家发觉，攻击者很有可能是在的最开始使用者建立和实际操作首页一段时间后，再根据毁坏管理人员机器设备的 *** 获得这种页面的访问限制。这些人的首页涉及到不一样的主题风格，但他们有一个相同点，那便是总体目标受众群体全是利比亚老百姓。在其中一些页面会效仿利比亚重要人物和领导人员，另一些则涉及到某国的一些政冶主题活动或军事演习。

这些年，攻击者一共公布了40好几个恶意连接。根据网页页面和连接中间的关联也可以看得出，恶意主题活动是高宽比交错的:

受害者精准定位

因为攻击者应用了URL挎包（bit.ly，goo.gl，tinyurl等），我们可以了解每一个连接的点一下总数，一些状况下还能够了解这种客户来源于哪个国家，及其她们的应用自然环境。大部分连接都是有千余次点一下，点一下時间集中化在连接建立和共享资源时：

这种连接的散播关键借助Facebook：

大部分受影响的客户来源于利比亚，也是有来源于欧州、英国和澳大利亚的受害者。下边的截屏表明了在其中一个连接，6500次点一下中有5120次来源于利比亚:

为吸引住关注者而不是只是根据共享恶意连接来造成她们的猜疑，这种页面还会继续公布利比亚的最新动态，好几个首页会在同一天内反复公布: