ZDNet 报道称，以色列网络安全公司 Clearsky 宣称发现了 254 台服务器被 Lebanese Cedar 黑客入侵，推测该组织幕后与真主党武装有难以明说的联系。此前已有许多爆料称，Lebanses Cedar 与发生在英美、中东等多地的电信运营商 / 互联网服务提供商入侵事件有关。而 Clearsky 的调查发现，新一轮攻击可追溯到 2020 年初。

攻击流程示意（图自：Clearsky）

在今日发布的一份报告中，Clearsky 宣称发现了至少 250 台被 LC 黑客入侵的服务器：

这些攻击似乎旨在收集相关情报，窃取包含敏感数据的企业数据库。对于电信企业来说，LC 黑客显然也对包含通话记录 / 客户私人信息的数据库有浓厚的兴趣。

网络安全研究人员指出，LC 黑客似乎遵循着一种简单的模式：

他们会先用开源的黑客扫描工具对运营商展开互联网扫描，以查找未打补丁的 Atlassian 和 Oracle 服务器。然后利用相关漏洞方法来访问服务器并植入 Web Shell，以便其将来访问。

在完成上述准备工作之后，LC 黑客会利用暗中部署的 Web Shell 对目标企业的内网展开攻击，并从中窃取私密文档。

具体说来是，LC 黑客使用 CVE-2019-3396 漏洞攻击了 Atlassian Confluence、利用 CVE-2019-11581 漏洞侵入了 Atlassian Jira、以及借助 CVE-2012-3152 漏洞攻破了 Oracle Fusion 。

 

已知 LC 黑客攻击事件受害者列表（来自：PDF）

 

一旦获得了对这些系统的访问权限，攻击者就会部署 ASPXSpy、Caterpillar 2、Mamad Warning 之类的 Web Shell，以及名为 JSP 的开源文件浏览器（同样可充当 Web Shell）。接着在目标企业的内部网络上，攻击者会部署功能更加强大的 Explosive 远程访问木马（RAT），以实施进一步的数据渗透（之前用过的老套路）。

Clearsky 指出，之所以将 LC 黑客攻击事件与真主党武装有关，是因为截至目前，这款 RAT 工具一直被它们所专门使用。与此同时，网络安全研究人员也指出了 LC 黑客犯下的某些失误，比如经常在入侵过程中使用同样的文件，使得外界可以对该组织的活动轨迹展开更好的追溯。

目前已知的 LC 黑客事件受害者，包括了埃及的沃达丰、阿联酋航空、沙特 SaudiNet 电信公司、以及美国的 Frontier Communications 等企业。