2022年8月，奇安信病毒响应中心移动安全团队在高级威胁追踪中发现到Bahamut组织投入了一个近两年其在Android端经常使用的TriggerSpy家族新变种。该变种为第四代，此次攻击仍采用钓鱼网站进行分发。需要注意的是，目前该新变种在VirusTotal上显示暂无其它杀软识别。

Bahamut组织被认为是一个“雇佣黑客组织”，其于2017年首次被Bellingcat披露并命名。该组织专注于中东和南亚的政治、经济和社会领域，其攻击目标主要是个人而不是组织，通常利用钓鱼网址方式开展攻击。Bahamut组织拥有近乎全平台的攻击能力，同时覆盖PC端和移动端，涉及Windows、Android、MacOS、iOS，并且针对移动端的攻击能力更加突出。

根据此次的钓鱼网站性质和历史攻击情况，分析认为Bahamut组织此次攻击的目标主要针对的是部分印度人员。

目前，基于奇安信自研的猫头鹰引擎和威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、奇安信天狗漏洞攻击防护系统、天擎、天机、天守、天眼高级威胁检测系统、奇安信NGSOC（态势感知与安全运营平台）、奇安信监管类态势感知等，都已经支持对此类攻击的精确检测。

通过奇安信病毒响应中心移动安全团队创新研发的高价值移动端攻击发现流程和奇安信威胁情报中心的威胁情报平台（https://ti.qianxin.com/）追踪分析，我们发现到Bahamut组织在今年8月16日开始投入钓鱼网站(paytm[.]website)进行载荷投递。此次涉及的钓鱼网站伪装成印度知名支付Paytm网站。

在对该钓鱼网站的追踪分析中，我们发现该网站早在2018年就曾被用来攻击印度SSC相关人员（StaffSelectionCommission）。虽然网站两次采用的攻击样本并不是同一个恶意家族，但我们认为这不是偶然，更大可能这是属于Bahamut组织的其中一个常用网络资产。

TriggerSpy家族出现于2020年，是Bahamut组织近两年持续使用的AndroidRAT，该名称采用的是奇安信的命名方式。本次攻击活动中使用的样本伪装成Paytm相关应用。

通过分析对比发现，此次Bahamut组织投入的移动端攻击TriggerSpy，应该是其为了躲避已被多家安全厂商识别的历史移动端武器而进行的改变，为第四代新变种。其采用了不申请敏感权限，来实现躲避其它安全厂商的检测。此次新变种并不窃取短信、联系人、通话记录等常见用户敏感隐私信息，但采用辅助功能来完成窃取三种知名社交软件（singal、Telegram、whatsApp）的聊天信息。

基结合此次样本与钓鱼网站等情况分析，奇安信病毒响应中心移动安全团队认为本次攻击活动归属为Bahamut组织。主要依据如下：

样本针对印度相关人员，符合该组织的其中一种攻击目标。

攻击样本属于TriggerSpy的第四代，TriggerSpy一般属于Bahamut组织独用。

样本采用的C2 域名形式虽然发生变化，但地址形式和Bahamut组织之前采用的仍相似。

Bahamut组织是一个擅长网络钓鱼的“雇佣黑客组织”，此次攻击仍然保持该攻击方式。网络钓鱼可谓老生常谈，却仍是攻击者屡试不爽的惯用手法，最有效的方式。应对这些攻击不仅需要安全厂商的各类安全产品的防护和到位的安全服务支持，更离不开企业对内部自身安全规程及企业内部员工安全防范意识的持续建设。如何避免遭受移动端上的攻击，奇安信病毒响应中心移动安全团队提供以下防护建议：

确保安装有手机安全软件，进行实时保护个人财产安全；如安装奇安信移动安全产品。

奇安信病毒响应中心是北京奇安信科技有限公司（奇安信集团）旗下的病毒鉴定及响应专业团队，背靠奇安信核心云平台，拥有每日千万级样本检测及处置能力、每日亿级安全数据关联分析能力。结合多年反病毒核心安全技术、运营经验，基于集团自主研发的QOWL和QDE（人工智能）引擎，形成跨平台木马病毒、漏洞的查杀与修复能力，并且具有强大的大数据分析以及实现全平台安全和防护预警能力。

奇安信病毒响应中心负责支撑奇安信全线安全产品的病毒检测，积极响应客户侧的安全反馈问题，可第一时间为客户排除疑难杂症。中心曾多次处置重大病毒事件、参与重大活动安全保障工作，受到客户的高度认可，提升了奇安信在业内的品牌影响力。

奇安信病毒响应中心移动安全团队一直致力移动安全领域及Android安全生态的研究。目前，奇安信的移动安全产品除了可以查杀常见的移动端病毒木马，也可以精准查杀时下流行的刷量、诈骗、博彩、违规、色情等黑产类软件。团队创新研发的高价值移动端攻击发现流程，已成功捕获到国内外多起针对移动平台的重大攻击事件，并发布了多篇移动黑产报告，披露了多个通过移动平台发起攻击的APT组织及其活动。特别的，近两年来，团队首发披露了包括诺崇狮组织SilencerLion、利刃鹰组织BladeHawk、艾叶豹组织SnowLeopard和金刚象组织VajraEleph在内的多个全新的APT组织。团队的高级威胁的分析与追踪溯源能力在国内外均处于领先水平。

未来我们还会持续走在全球移动安全研究的前沿，第一时间追踪分析最新的移动安全事件、对国内移动相关的黑灰产攻击进行深入挖掘和跟踪，为维护移动端上的网络安全砥砺前行。

奇安信移动终端安全管理系统（天机）是面向公安、司法、政府、金融、运营商、能源、制造等行业客户，具有强终端管控和强终端安全特性的移动终端安全管理产品。产品基于奇安信在海量移动终端上的安全技术积淀与运营经验，从硬件、OS、应用、数据到链路等多层次的安全防护方案，确保企业数据和应用在移动终端的安全性。

奇安信移动态势感知系统是由奇安信安全监管BG态势感知第一事业部及其合作伙伴奇安信病毒响应中心移动团队合力推出的一个移动态势感知管理产品。不同于传统移动安全厂商着重于APP生产，发布环节，为客户提供APP加固、检测、分析等；移动态势感知面向具有监管责任的客户，更加着重于APP的下载，使用环节，摸清辖区范围内APP的使用情况，给客户提供APP违法检测、合规性分析、溯源等功能。