搜索

[16696] 2021-04-21_图种再现？Lazarus组织将恶意代码隐藏在.BMP图像中

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-21_图种再现？Lazarus组织将恶意代码隐藏在.BMP图像中 图 种 再 现 ？ L a z a r u s 组 织 将 恶 意 代 码 隐 藏 在 . B M P 图 像 中 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 4 - 2 1 最 近 在 一 起 针 对 韩 国 实 体 的 鱼 叉 式 网 络 钓 鱼 活 动 中 发 现 ， 与 朝 鲜 有 关 的 A P T 组 织 L a z a r u s 将 恶 意 代 码 隐 藏 在 了 . B M P 图 像 文 件 中 以 逃 避 检 测 。 隐 藏 在 . B M P 图 像 中 的 恶 意 代 码 可 以 在 受 害 者 的 系 统 上 安 装 一 个 远 程 访 问 木 马 （ R A T ） ， 使 攻 击 者 可 以 窃 取 敏 感 信 息 。 来 自 M a l w a r e b y t e s 的 研 究 人 员 表 示 ， 此 次 网 络 钓 鱼 活 动 是 由 分 发 带 有 恶 意 文 件 的 电 子 邮 件 开 始 的 ， 并 且 研 究 人 员 于 4 月 1 3 日 发 现 了 该 文 件 。 此 次 钓 鱼 邮 件 所 创 建 的 诱 骗 文 件 声 称 是 韩 国 某 个 城 市 的 博 览 会 的 参 与 申 请 表 ， 并 提 示 用 户 在 首 次 打 开 时 启 用 宏 。 该 宏 首 先 调 用 M s g B o x O K C a n c e l 函 数 ， 向 用 户 弹 出 一 个 消 息 框 ， 声 称 是 微 软 O f f i c e 的 旧 版 本 。 在 后 台 ， 该 宏 调 用 一 个 压 缩 为 z l i b 文 件 的 可 执 行 H T A 文 件 ， 该 文 件 被 包 含 在 一 个 整 体 的 P N G 图 像 文 件 中 。 该 宏 还 通 过 调 用 W I A _ C o n v e r t I m a g e 函 数 将 P N G 格 式 的 图 像 转 换 为 B M P 格 式 。 专 家 指 出 ， 将 P N G 文 件 格 式 转 换 为 B M P 文 件 格 式 会 自 动 解 压 从 P N G 嵌 入 到 B M P 的 恶 意 z l i b 对 象 ， 因 为 B M P 文 件 格 式 是 未 压 缩 的 图 形 文 件 格 式 。 利 用 这 个 技 巧 ， 攻 击 者 可 以 避 免 检 测 到 图 像 内 的 嵌 入 对 象 。 之 后 用 户 会 触 发 感 染 链 的 攻 击 代 码 ， 最 终 投 放 一 个 名 为   “ A p p S t o r e . e x e   “ 的 可 执 行 文 件 。
然 后 ， 该 有 效 载 荷 继 续 提 取 附 加 在 自 己 身 上 的 加 密 的 第 二 阶 段 有 效 载 荷 ， 在 运 行 时 进 行 解 码 和 解 密 ， 接 着 与 远 程 服 务 器 建 立 通 信 ， 接 收 额 外 的 命 令 ， 并 将 这 些 命 令 的 结 果 传 回 服 务 器 。 此 次 活 动 与 过 去 的 L a z a r u s 行 动 有 许 多 相 似 之 处 ， 例 如 第 二 阶 段 的 有 效 载 荷 使 用 了 与 L a z a r u s 相 关 的 B I S T R O M A T H R A T 所 使 用 的 类 似 的 自 定 义 加 密 算 法 。 L a z a r u s   A P T 组 织 背 景 组 织 背 景 L a z a r u s   A P T 组 织 至 少 从 2 0 0 9 年 就 开 始 活 跃 ， 一 般 认 为 该 组 织 与 朝 鲜 有 关 。 其 攻 击 方 式 主 要 是 利 用 恶 意 软 件 。 该 组 织 参 与 了 众 多 网 络 间 谍 活 动 和 破 坏 活 动 ， 拥 有 丰 厚 的 “ 战 绩 ” 。 一 般 认 为 该 组 织 与 大 规 模 的 W a n n a C r y 勒 索 软 件 攻 击 有 关 ， 此 外 ， 2 0 1 6 年 的 大 量 S W I F T 攻 击 和 索 尼 影 业 遭 受 的 黑 客 攻 击 也 被 认 为 与 该 组 织 有 所 联 系 。 根 据 卡 巴 斯 基 2 0 2 0 年 发 布 的 报 告 ， 近 两 年 ， 该 组 织 持 续 针 对 加 密 货 币 交 易 所 来 演 变 其 T T P 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理