据security affairs消息，安全研究人员近期发现了一个名为Balikbayan Foxes（TA2722）的网络攻击组织。

该组织曾多次冒充菲律宾政府组织，包括卫生部、海外就业管理局和海关局，还伪装成沙特驻马尼拉大使馆和菲律宾DHL邮递和物流集团，不断传播木马病毒和恶意软件，包括Remcos 、 NanoCore 等远程访问木马。其中，Remcos和NanoCore木马病毒常被用于信息收集、数据过滤、监视和控制被感染的计算机。

该组织主要活动在北美、欧洲和东南亚等地区，涉及航运、物流、制造、商业服务、制药、能源和金融等多个领域，其目的在于获取计算机权限，窃取企业的数据和信息，以及后续的商业诈骗行动等。

安全专家表示，“该组织一般直接或间接冒充菲律宾政府部门，不断向受害者发起钓鱼邮件攻击，诱使用户下载带木马的文件或点击恶意链接。”

在现有被记录的攻击中，该组织在2020年8月曾冒充菲律宾DHL和沙特驻马尼拉领事馆(KSA)，发起鱼叉式网络钓鱼攻击。值得一提的是，攻击者的钓鱼邮件重复使用了很长一段时间，这意味着他们一直没有被发现。他们在邮件中设置了多种诱饵，包括Covid-19感染率、账单、票据等。

根据已有的信息，安全研究人员将这些攻击活动分为两个不同的网络攻击集群，并发现了该组织多种攻击机制，只要包括：

1.发送的网络钓鱼电子邮件包含指向恶意 .RAR 文件的 OneDrive 链接；

2.邮件中附加了精心制作的PDF文件，其中包含指向恶意可执行文件的嵌入 URL；

3.包含宏的压缩 MS Excel 文档，启用后则会下载恶意软件。

根据已经披露的信息，该组织自2018年8月就已经开始活跃，一直到2020年10月份才逐渐停止。2021年9月，该组织再一次开始活跃起来，并将菲律宾海关客户资料注册系统（CPRS）作为诱饵，在里面设置了收集凭证的恶意链接。

总的来说，Balikbayan Foxes是一个高活跃度的网络攻击组织，曾多次冒充菲律宾政府的各个部门，针对东南亚、欧洲和北美等地区发起钓鱼邮件攻击，传播各种恶意软件和木马病毒。有信息显示，该组织一直试图远程访问、控制受害者的计算机，收集系统数据，安装恶意软件，参与商业电子邮件妥协(BEC)攻击等。

参考来源：https://securityaffairs.co/wordpress/124017/apt/balikbayan-foxes-campaings.html