DarkHotel（又名:黑店，APT-C-06，寄生兽，T-APT-02）是一个长期针对企业高管、国防工业、电子工业等重要机构实施网络间谍攻击活动的APT组织。 

    近年来国内知名厂商腾讯安全、360安全、奇安信都有持续分析此组织。最早在2014年11月，卡巴斯基实验室的安全专家首次发现了Darkhotel APT组织，并声明该组织至少从2010年就已经开始活跃，目标基本锁定在韩国、中国、俄罗斯和日本。

    通过溯源得知,早在2011年该组织的攻击目标是入住高端酒店的商务人士或有关国家政要，攻击入口是酒店WiFi网络，当目标关键人物接入酒店WiFi时便会遭遇攻击，因此得名DarkHotel ，中文译作“黑店”。该组织特征为喜欢把恶意文件隐藏在开源的代码或者正常软件中进行伪装，如putty、openssl、zlib、*易邮箱大师、采用插件模式等等，把少量木马代码隐藏在大量的开源代码中，从而实现躲避检测的目的；因此得名"寄生兽"。

    该组织是近几年来最活跃的APT组织之一，主要攻击目标为电子行业、通信行业的企业高管及有关国家政要人物，其攻击范围遍布中国、朝鲜、日本、缅甸、俄罗斯等多个国家。

    2020年1月14日，微软正式宣告Windows 7系统停止更新。在Windows 7正式停服关键时间节点的第二天，即2020年1月15日，360安全大脑在全球范围内就捕获了首例同时利用IE浏览器和火狐浏览器两个0day漏洞进行的复合攻击，360安全大脑将其命名为“双星”0day漏洞攻击。

    “双星”0day 漏洞是全球首例利用双浏览器 0day 漏洞发起的复合攻击，即 IE 脚本引擎远程代码执行漏洞（CVE-2020-0674）和火狐类型混淆漏洞（CVE-2019-17026）。

     360安全大脑发现"双星”0day漏洞的攻击是利用office漏洞文档、网页挂马和WPAD本地提权的多种攻击方式进行的复杂组合攻击。完整的攻击流程如下：

    有意思的是360安全大脑发现的这例Office漏洞文档触发的双星漏洞，是默认打开IE浏览器进行攻击。

    初始攻击使用了office公式编辑器漏洞（CVE-2017-11882），攻击者根据目标精心制作了诱饵文档。

• http://blogs.360.cn/post/apt-c-06_0day.html

    目前火狐浏览器已经发布了Firefox 72.0.1 and Firefox ESR 68.4.1，我们建议所有的火狐浏览器用户更新到最新版本。 

    针对Windows系统的用户，我们建议Windows 10系统用户尽快更新2020年2月份的微软安全补丁，Win7用户请尽快升级为Windows 10系统并尽快更新2020年2月份的微软安全补丁.

    限制对JScript.dll的访问，可暂时规避该安全风险，但可能导致网站无法正常浏览。

    对于32位系统，在管理命令提示符处输入以下命令：

takeown /f %windir%\\system32\\jscript\.dllcacls %windir%\\system32\\jscript\.dll /E /Peveryone:N

    对于64位系统，在管理命令提示符处输入以下命令：

takeown /f %windir%\\syswow64\\jscript\.dllcacls %windir%\\syswow64\\jscript\.dll /E /Peveryone:Ntakeown /f %windir%\\system32\\jscript\.dllcacls %windir%\\system32\\jscript\.dll /E /Peveryone:N 

如何撤消临时措施: 

    对于32位系统，在管理命令提示符处输入以下命令：

cacls %windir%\\system32\\jscript\.dll /E /Reveryone

cacls %windir%\\system32\\jscript\.dll /E /Reveryonecacls %windir%\\syswow64\\jscript\.dll /E /Reveryone