搜索

[28788] 2021-03-06_2021年2月恶意软件趋势报告

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2021-03-06_2021年2月恶意软件趋势报告 2 0 2 1 年 2 月 恶 意 软 件 趋 势 报 告 B E N   Z I O N   L A V I   O t s 安 全   2 0 2 1 - 0 3 - 0 6 该 报 告 是 V a r o n i s 团 队 的 每 月 摘 要 ， 记 录 了 在 响 应 事 件 ， 执 行 法 医 和 反 向 工 程 恶 意 软 件 样 本 时 观 察 到 的 活 动 。 该 报 告 旨 在 帮 助 您 更 好 地 了 解 不 断 发 展 的 威 胁 形 势 ， 并 相 应 地 调 整 防 御 措 施 。     恶 意 软 件 恶 意 软 件   Ø 概 述 概 述 -     E v i l Q u e s t     E v i l Q u e s t   ， A K A   T h i e f Q u e s t 和   M a c . R a n s o m . K ， 是   勒 索 ， 旨 在   加 密 M a c O S 的 设 备 ，   这 是   一 般   较 少   影 响   被 勒 索 威 胁 我 。 E v i l Q u e s t 是 针 对 野 外 发 现 的 m a c O S 设 备 的 第 三 个 勒 索 软 件 变 体 。 与 其 他 勒 索 软 件 变 体 相 比 ， E v i l Q u e s t 另 一 个 与 众 不 同 的 细 节 是 ， 它 始 终 使 用 对 称 加 密 ， 而 不 是 在 加 密 的 至 少 一 个 阶 段 中 使 用 非 对 称 密 钥 。   这 意 味 着 用 于 加 密 文 件 的 密 钥 可 用 于 对 其 进 行 解 密 ， 从 而 使 解 密 文 件 的 挑 战 变 得 容 易 得 多 。   勒 索 软 件 还 包 括 数 据 泄 露 功 能 ， 使 用 三 个 可 以 发 送 H T T P 发 布 请 求 的 外 部 p y t h o n 脚 本 ： 勒 索 软 件 包 括 许 多 勒 索 软 件 变 体 通 常 不 具 备 的 附 加 功 能 。 例 如 ， 它 寻 找 S S H 密 钥 ， 这 些 密 钥 可 能 允 许 攻 击 者 以 交 互 方 式 登 录 受 害 者 的 设 备 。 它 还 会 寻 找 受 信 任 的 证 书 ， 这 可 以 使 攻 击 者 访 问 站 点 而 不 会 引 起 安 全 警 告 。  
我 们 还 可 以 在 调 用 A P I 函 数 的 代 码 部 分 中 找 到 按 键 记 录 功 能 的 提 示 ， 这 些 功 能 旨 在 查 找 底 层 硬 件 事 件 ， 其 名 称 包 括 “   k l g r ” 并 打 印 出 诸 如 “   s t a r t e d   l o g g i n g ” 之 类 的 字 符 串 ：   我 们 可 以 找 到 证 据 证 明 勒 索 软 件 仍 在 开 发 中 ， 并 且 尚 未 最 终 形 式 。 例 如 ， 解 密 功 能 并 未 完 全 实 现 。 由 于 在 代 码 内 的 任 何 地 方 都 不 会 调 用 解 密 例 程 ， 因 此 即 使 受 害 者 支 付 了 赎 金 ， 受 害 者 也 肯 定 无 法 解 密 其 文 件 。   恶 意 软 件 恶 意 软 件   概 述 概 述   –   A g e n t   T e s l a   特 斯 拉 特 工 （ A g e n t   T e s l a ） 是 一 种 间 谍 软 件 / 键 盘 记 录 程 序 ， 用 于 窃 听 从 受 害 设 备 i i 收 集 的 数 据 。 它 主 要 针 对 印 度 受 害 者 和 I S P 。 它 于 2 0 1 4 年 首 次 被 发 现 ， 并 被 称 为 “ 恶 意 软 件 即 服 务 ” ， 分 发 给 许 多 威 胁 参 与 者 。 威 胁 参 与 者 可 以 从 其 官 方 网 站 购 买 该 恶 意 软 件 的 订 阅 许 可 证   。    
传 统 上 ， 代 理 特 斯 拉 通 过 钓 鱼 邮 件 大 多 传 播   秩 序 ， 以   窃 取 受 感 染 的 设 备 的 数 据 。 较 新 版 本 的 恶 意 软 件 以 存 储 的 凭 据 为 目 标 ， 重 点 是 V P N 和 电 子 邮 件 服 务 的 密 码 。 这 可 能 表 明 对 此 数 据 的 需 求 有 所 增 加 ， 这 可 能 是 由 于 远 程 工 作 导 致 过 去 一 年 的 使 用 增 加 所 致 。     新 版 本 还 滥 用 了 看 似 合 法 和 受 信 任 的 服 务 （ 例 如 T e l e g r a m ） 作 为 渗 入 数 据 的 平 台 。 使 用 T e l e g r a m   M e s s e n g e r 可 能 会 逃 避 传 统 的 基 于 网 络 的 检 测 。   滴 管 可 执 行 文 件 ， 写 在 自 动 I T ， 包 含 进 程 注 入 功 能 ， 它 允 许 恶 意 软 件 注 入 它 的 s h e l l c o d e 到 一 个 过 程 ， 并 且 控 制 传 递 给 一 个 名 为 “ R e g s v c s . e x e 的 ” 方 案 三 。 该 程 序 （ 用 . N E T 编 写 ） 包 含 以 下 功 能 ： 从 受 害 设 备 上 的 已 安 装 软 件 （ 例 如 ， 流 行 的 浏 览 器 ， 如 屏 幕 快 照 中 所 示 ） 收 集 保 存 的 凭 据 ， 并 将 此 数 据 发 送 到 C ＆ C 服 务 器 ：  
恶 意 软 件 恶 意 软 件   概 述 概 述   –   F o u d r e   A P T     “   F o u d r e ” 是 2 0 1 7 年 被 发 现 的 伊 朗 A P T 的 名 称 i v 。 它 的 祖 先 可 以 追 溯 到 2 0 0 7 年 （ I n f y   A K A “ 波 斯 王 子 ” ） 。 它 主 要 用 于 秘 密 地 从 组 织 和 V I P 个 人 中 窃 取 数 据 。   A P T   主 要 包 括 但 不 限 于 针 对 欧 洲 和 北 美 的 目 标 ， 它 分 为 几 个 阶 段 。 第 一 阶 段 包 括 受 害 者 打 开 一 个 包 含 宏 代 码 的 精 心 制 作 的 文 档 ， 该 宏 代 码 会 自 动 提 取 包 含 “   F o u d r e ” 组 件 的 档 案 。 发 送 给 受 害 者 的 文 件 示 例 ：   第 二 阶 段 包 括 通 过 H T T P 连 接 到 C 2 服 务 器 ， 目 的 是 验 证 自 身 并 下 载 “   T o n n e r r e ” （ 第 三 阶 段 使 用 的 恶 意 软 件 ） 。   在 第 三 阶 段 ， 执 行 “   T o n n e r r e ” 并 承 担 两 个 职 责 ： 使 用 与 C 2 服 务 器 的 H T T P 通 信 更 新 自 身 ， 以 及 通 过 F T P 协 议 窃 取 数 据 。   C 2 服 务 器 的 域 名 和 I P 地 址 在 恶 意 软 件 本 身 中 不 能 作 为 字 符 串 使 用 ， 因 为 它 使 用 域 生 成 算 法 （ D G A ） 来 查 找 域 - 一 种 生 成 并 尝 试 与 许 多 域 名 进 行 通 信 的 技 术 ， 而 其 中 只 有 一 个 是 真 正 的 C 2 服 务 器 域 名 。 此 技 术 可 能 使 攻 击 者 可 以 隐 藏 自 己 的 身 份 ， 并 且 可 以 使 C 2 服 务 器 的 信 誉 长 期 保 持 干 净 。     恶 意 软 件 恶 意 软 件   概 述 概 述   –   D r o v o r u b   D r o v o r u b 是 一 种 可 攻 击 L i n u x   O S 的 恶 意 软 件 ， 由 F B I 和 N S A   v 归 因 于 俄 罗 斯 威 胁 参 与 者 “   F a n c y   B e a r ” （ 又 名 “   A P T 2 8 ” 和 “ S t r o n i u m ” ） 创 建 。 该 恶 意 软 件 通 过 将 建 成   3 个 的 操 作 系 统 内 核 ， 端 口 转 发 ， 和 文 件 传 输 组 件 R o o t k i t 的 - 不 同 的 事 业 ，   和 C 2 通 信 工 具 。     内 核 的 r o o t k i t 的 目 的 是 隐 藏 恶 意 软 件 的 活 动   由   隐 藏 在 系 统 调 用 和 流 程   的   文 件 系 统 ， 通 过 使 用 特 定 的 功 能 ， 允 许 它 ， 过 滤 掉
来 自 不 同 的 看 法 网 络 套 接 字 和 隐 藏 文 件 ，   并 使 用 不 同 的 技 术 来 隐 藏 包 秒 。   据 说 “ 花 哨 的 熊 ” 还 参 与 了 其 他 几 项 运 动 ， 例 如 在 2 0 1 9 年 8 月 发 现 的 对 亚 洲 和 欧 洲 使 馆 和 部 委 的 袭 击 ， 以 及 在 次 年 9 月 对 各 种 体 育 组 织 的 袭 击 。 虽 然 两 种 攻 击 都 包 含 网 络 钓 鱼 尝 试 ， 但 第 一 次 攻 击 也 采 用 了 几 个 阶 段 的 下 载 程 序 。 其 中 一 些 是 用 利 基 编 程 语 言 编 写 的 。   在 2 0 1 8 年 1 2 月 至 2 0 2 0 年 5 月 之 间 ， 该 组 织 的 另 一 项 行 动 持 续 了 大 约 一 年 半 ， 其 中 一 些 美 国 政 府 机 构 的 邮 件 服 务 器 和 V P N 服 务 受 到 威 胁 。   恶 意 软 件 恶 意 软 件   概 述 概 述 –   S t r o n g P i t y   S t r o n g P i t y 又 名 A P T - C - 4 1 和 “   P r o m e t h i u m ” 是 由 土 耳 其 A P T 小 组 创 建 的 后 门 程 序 ， 该 小 组 专 门 针 对 欧 洲 的 金 融 ， 工 业 和 教 育 组 织 ， 旨 在 对 其 进 行 监 视 v i 。 该 恶 意 软 件 于 2 0 1 2 年 首 次 在 野 外 出 现 ， 其 最 后 记 录 的 活 动 是 在 2 0 2 0 年 1 1 月 。   该 恶 意 软 件 使 用 一 种 称 为 “ 水 坑 ” 的 技 术 进 行 传 播 ， 该 技 术 通 过 运 行 声 称 提 供 这 些 工 具 的 网 站 将 其 自 身 连 接 到 正 常 合 法 的 软 件 （ 例 如 W i n R A R 或 T r u e C r y p t ） 上 ， 但 会 提 供 木 马 版 本 v i i 。 该 恶 意 软 件 在 其 执 行 流 程 中 具 有 多 个 阶 段   。 我 吨 开 始 通 过 使 用 浇 水 孔 技 术 感 染 的 受 害 者 。 牛 逼 母 鸡 ， 它 丢 弃 文 件   包 含 恶 意 软 件 的 配 置 路 径 ％ T E M P ％ 下 的   n d a D a t a       然 后   ， 它 使 用 文 件 搜 索 器 功 能 来 查 找 配 置 为 要 查 找 的   文 件 ， 例 如 具 有   特 定   扩 展 名 的 文 件 。 搜 索 文 件 的 类 型 嵌 入 在 恶 意 软 件 的 有 效 负 载 中 。   然 后 将 找 到 的 文 件 压 缩 为 Z I P   文 件 ， 然 后 将 其 加 密 ，   拆 分 为 多 个   部 分   并 标 记 为 隐 藏 。 然 后 ， 使 用 对 C 2 服 务 器 的 W e b   P O S T 请 求 将 这 些 拆 分 文 件 发 送 给 攻 击 者 。 这 种 技 术   我 命 中 注 定 的 帮 助 攻 击 者 逃 避 检 测 ， 作 为   一 个   用 小 载 荷 P O S T 请 求 是   在 大 多 数 组 织 中 一 种 正 常 的 活 动 。   发 送 拆 分 文 件 后 ， 将 从 受 害 者 的 磁 盘 中 删 除 它 们 。   瓦 罗 尼 检 测 瓦 罗 尼 检 测   V a r o n i s 的   威 胁 检 测 产 品 具 有 几 种 内 置 的 威 胁 模 型 ， 这 些 模 型 可 以 识 别 在 其 活 动 的 不 同 阶 段 提 到 的 恶 意 软 件 变 体 ：   “ 检 测 到 加 密 活 动 ” ： 检 测 文 件 服 务 器 上 赎 金 记 录 的 创 建 。   “ 检 测 到 立 即 模 式 ： 用 户 操 作 类 似 于 勒 索 软 件 ” ： 在 不 依 赖 已 知 勒 索 软 件 文 件 名 或 扩 展 名 的 情 况 下 ， 检 测 文 件 服 务 器 上 文 件 的 加 密 过 程 ， 从 而 能 够 检 测 到 新 的 勒 索 软 件 / 数 据 破 坏 者 变 体 。     “ 异 常 行 为 ： 异 常 数 量 的 数 据 上 载 到 外 部 网 站 ” ： 通 过 检 查 发 送 的 信 息 量 来 检 测 收 集 到 的 数 据 是 否 上 载 到 组 织 范 围 之 外 的 网 站 。     “ 潜 在 的 网 络 钓 鱼 攻 击 ： 访 问 域 名 中 包 含 非 正 常 字 符 的 危 险 站 点 ” ： 根 据 网 站 U R L 上 的 非 常 规 字 符 来 检 测 用 户 何 时 访 问 可 能 包 含 恶 意 软 件 的 网 站 。   “ 可 疑 电 子 邮 件 ： 收 到 带 有 可 疑 恶 意 附 件 的 电 子 邮 件 ” ： 检 测 电 子 邮 件 附 件 何 时 可 能 包 含 恶 意 代 码 或 指 向 恶 意 网 站 的 链 接 。   “ 检 测 到 潜 在 的 恶 意 文 件 下 载 ” ： 检 测 潜 在 的 恶 意 文 件 的 下 载 。   “ 潜 在 的 恶 意 软 件 感 染 ： 识 别 出 了 恶 意 软 件 ” ： 检 测 恶 意 软 件 对 环 境 的 潜 在 感 染 ， 可 用 于 下 载 恶 意 软 件 的 下 一 阶 段 。   “ 已 识 别 的 域 生 成 算 法 （ D G A ） ” ： 检 测   生 成 域 名 并   与 D N S 服 务 器 通 信 以 解 析 其 名 称 的 恶 意 软 件   变 体   ， 以 尝 试 查 找 其 C 2 服 务 器 。     2 0 2 1 年 年 2 月 观 察 到 的 主 要 攻 击 向 量 月 观 察 到 的 主 要 攻 击 向 量
参 考 参 考 [ i ] h t t p s : / / w w w . s e n t i n e l o n e . c o m / b l o g / e v i l q u e s t - a - n e w - m a c o s - m a l w a r e - r o l l s - r a n s o m w a r e - s p y w a r e - a n d - d a t a - t h e f t - i n t o - o n e / [ i i ] h t t p s : / / c o f e n s e . c o m / s t r a t e g i c - a n a l y s i s - a g e n t - t e s l a - e x p a n d s - t a r g e t i n g - a n d - n e t w o r k i n g - c a p a b i l i t i e s / [ i i i ] h t t p s : / / w w w . f o r t i n e t . c o m / b l o g / t h r e a t - r e s e a r c h / n e w - a g e n t - t e s l a - v a r i a n t - s p r e a d i n g - b y - p h i s h i n g [ i v ] h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / 2 0 2 1 / a f t e r - l i g h t n i n g - c o m e s - t h u n d e r / [ v ] h t t p s : / / s e c u r i t y i n t e l l i g e n c e . c o m / n e w s / m a l w a r e - r u s s i a n - f a n c y - b e a r - i d e n t i f i e d - d r o v o r u b / [ v i ]   h t t p s : / / 0 x t h r e a t i n t e l . m e d i u m . c o m / u n c o v e r i n g - a p t - c - 4 1 - s t r o n g p i t y - b a c k d o o r - e 7 f 9 a 7 a 0 7 6 f 4 [ v i i ] h t t p s : / / c y b l e i n c . c o m / 2 0 2 0 / 1 2 / 3 1 / s t r o n g p i t y - a p t - e x t e n d s - g l o b a l - r e a c h - w i t h - n e w - i n f r a s t r u c t u r e /
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理