搜索

[14203] 2019-06-07_欧洲黑客组织通过已签名的垃圾邮件来实现多阶段恶意软件加载

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-06-07_欧洲黑客组织通过已签名的垃圾邮件来实现多阶段恶意软件加载 欧 洲 黑 客 组 织 通 过 已 签 名 的 垃 圾 邮 件 来 实 现 多 阶 段 恶 意 软 件 加 载 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 6 - 0 7 在 过 去 的 几 个 月 时 间 里 ， 研 究 人 员 观 察 到 了 多 个 新 型 的 恶 意 垃 圾 邮 件 活 动 。 在 这 些 攻 击 活 动 中 ， 攻 击 者 使 用 了 在 过 去 的 几 个 月 时 间 里 ， 研 究 人 员 观 察 到 了 多 个 新 型 的 恶 意 垃 圾 邮 件 活 动 。 在 这 些 攻 击 活 动 中 ， 攻 击 者 使 用 了 一 种 多 阶 段 恶 意 软 件 加 载 器 来 传 播 一 种 多 阶 段 恶 意 软 件 加 载 器 来 传 播 G o o t K i t 银 行 木 马 ， 而 这 个 新 出 现 的 恶 意 软 件 名 叫 银 行 木 马 ， 而 这 个 新 出 现 的 恶 意 软 件 名 叫 J a s p e r L o a d e r 。 。 这 个 恶 意 软 件 加 载 器 是 思 科 T a l o s 安 全 研 究 团 队 自 2 0 1 8 年 7 月 份 至 今 ， 监 测 到 的 第 三 种 加 载 工 具 了 ， 而 另 外 两 款 分 别 是 S m o k e L o a d e r 和 B r u s h a l o a d e r 。 S m o k e L o a d e r ， 又 名 D o f o i l ， 网 络 犯 罪 分 子 在 去 年 主 要 使 用 它 来 传 播 勒 索 软 件 或 恶 意 挖 矿 P a y l o a d ；   B r u s h a l o a d e r 发 现 于 2 0 1 9 年 年 初 ， 它 可 以 使 用 类 似 P o w e r S h e l l 脚 本 这 样 的 L o t L 工 具 来 隐 藏 自 己 的 攻 击 & 感 染 痕 迹 。 恶 意 软 件 加 载 器 对 于 那 些 想 把 恶 意 P a y l o a d 安 插 到 目 标 用 户 设 备 中 的 网 络 攻 击 者 来 说 ， 绝 对 是 必 不 可 少 的 工 具 ， 因 为 他 们 可 以 通 过 将 恶 意 软 件 安 装 至 符 合 攻 击 条 件 的 计 算 机 设 备 来 实 现 自 己 的 犯 罪 利 益 最 大 化 。 思 科 T a l o s 安 全 研 究 团 队 目 前 正 在 跟 踪 的 恶 意 软 件 加 载 程 序 名 叫 J a s p e r L o a d e r ， 这 款 恶 意 软 件 的 活 动 在 过 去 的 几 个 月 内 一 直 非 常 频 繁 ， 而 且 影 响 范 围 也 越 来 越 大 。 在 此 攻 击 活 动 中 ， 主 要 的 攻 击 目 标 为 中 欧 地 区 的 用 户 ， 而 且 其 中 大 部 分 受 害 者 都 来 自 意 大 利 和 德 国 。 研 究 人 员 表 示 ： ” J a s p e r L o a d e r 使 用 了 多 阶 段 感 染 的 攻 击 机 制 ， 并 配 合 了 多 种 代 码 混 淆 技 术 来 增 加 安 全 检 测 和 分 析 的 难 度 。 从 感 染 过 程 的 后 期 阶 段 来 看 ， 这 款 恶 意 软 件 的 设 计 者 既 考 虑 到 了 软 件 弹 性 ， 也 考 虑 到 的 可 扩 展 性 。 ” 在 过 去 的 几 个 月 里 ， 攻 击 者 进 行 了 多 次 恶 意 垃 圾 邮 件 活 动 来 传 播 J a s p e r L o a d e r ， 并 使 用 G o o t k i t 银 行 木 马 （ 之 前 使 用 的 是 D a n a B o t 、 N e u t r i n o 漏 洞 利 用 工 具 和   E m o t e t 来 实 现 传 播 和 感 染 ） 来 感 染 目 标 设 备 ， 最 终 窃 取 目 标 用 户 的 敏 感 信 息 。 而 且 在 此 攻 击 活 动 中 ， 恶 意 软 件 和 P a y l o a d 等 攻 击 组 件 都 经 过 了 本 地 化 处 理 ， 以 匹 配 其 攻 击 目 标 （ 欧 洲 地 区 的 国 家 ） 。 除 此 之 外 ， 用 于 实 现 J a s p e r L o a d e r 初 步 感 染 的 恶 意 附 件 还 包 含 有 V B S 脚 本 以 及 D O C M 文 档 ， 其 中 还 嵌 入 有 恶 意 V B A 宏 ， 它 们 主 要 负 责 初 始 化 恶 意 P a y l o a d 的 下 载 进 程 。
研 究 人 员 还 发 现 了 包 含 恶 意 J S 下 载 器 的 消 息 ， 这 些 消 息 大 部 分 都 伪 装 成 了 合 法 邮 件 或 恶 意 文 件 附 件 。 比 如 说 ， 某 些 活 动 中 攻 击 者 会 在 垃 圾 邮 件 内 嵌 入 Z I P 文 件 ， 而 这 些 文 件 标 题 一 般 是 “ 发 票 ” 等 字 样 ， 但 其 中 包 含 的 却 是 恶 意 J a v a S c r i p t 文 件 和 X M L 文 件 。 这 些 恶 意 垃 圾 邮 件 活 动 之 所 以 非 常 危 险 ， 主 要 是 因 为 攻 击 者 使 用 了 合 法 认 证 的 电 子 邮 件 服 务 ， 比 如 说 P E C 电 子 认 证 服 务 ， 意 大 利 、 瑞 士 和 香 港 等 地 区 都 回 使 用 这 个 服 务 来 对 电 子 邮 件 进 行 签 名 认 证 ， 以 帮 助 用 户 识 别 邮 件 的 合 法 性 。 J a s p e r L o a d e r 恶 意 软 件 加 载 器 在 成 功 感 染 了 目 标 设 备 之 后 ， 它 会 检 测 目 标 设 备 的 地 理 位 置 ， 如 果 设 备 位 于 俄 罗 斯 、 乌 克 兰 、 白 俄 罗 斯 或 中 国 的 话 ， 恶 意 软 件 将 会 立 即 停 止 运 行 。 接 下 来 ， 它 会 将 自 己 的 L N K 快 捷 方 式 添 加 到 受 感 染 系 统 的 启 动 项 中 ， 以 此 来 实 现 持 久 化 感 染 。 它 还 会 生 成 一 个 B O T 标 识 符 ， 并 根 据 这 个 标 识 符 来 向 C 2 服 务 器 发 送 或 接 收 信 息 。 当 这 个 设 备 在 攻 击 者 的 僵 尸 网 络 中 完 成 注 册 之 后 ， 受 感 染 设 备 会 进 入 待 机 状 态 ， 并 等 待 来 自 攻 击 者 的 控 制 命 令 。 J a s p e r L o a d e r 还 允 许 攻 击 者 更 新 恶 意 软 件 加 载 程 序 ， 并 运 行 基 于 P o w e r S h e l l 的 任 意 系 统 命 令 。 更 重 要 的 是 ， 它 会 下 载 最 终 的 G o o t k i t 恶 意 软 件 P a y l o a d 。 *   参 考 来 源 ： b l e e p i n g c o m p u t e r ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理