Comm100 Live Chat 应用程序的官方安装程序是一种广泛部署的 SaaS(软件即服务),企业用于客户沟通和网站访问者,在新的供应链攻击中被木马化。
CrowdStrike 的一份报告称,至少从 9 月 26 日到 9 月 29 日上午,供应商的网站上都提供了受感染的变体。
由于木马安装程序使用了有效的数字签名,因此防病毒解决方案在启动期间不会触发警告,从而允许隐蔽的供应链攻击。
后门细节
CrowdStrike 表示,攻击者将 JavaScript 后门植入到“main.js”文件中,该文件存在于以下版本的 Comm100 Live Chat 安装程序中:
- 10.0.72 与 SHA256 哈希 6f0fae95f5637710d1464b42ba49f9533443181262f78805d3ff13bea3b8fd45
- 10.0.8 与 SHA256 哈希 ac5c0823d623a7999f0db345611084e0a494770c3d6dd5feeba4199deee82b86
后门从硬编码的 URL(“http[:]//api.amazonawsreplay[.]com/livehelp/collect”)获取第二阶段混淆的 JS 脚本,这使攻击者可以通过远程 shell 访问受害端点命令行。

CrowdStrike 观察到攻击后活动,例如部署恶意加载程序(“MidlrtMd.dll”),这些加载程序使用 DLL 顺序劫持技术从合法 Windows 进程(如“notepad.exe”)的上下文中加载有效负载,直接从内存运行。
加载程序从 C2 获取最终的有效载荷(“许可证”)并使用硬编码的 RC4 密钥对其进行解密。
疑似中国攻击者
Crowdstrike 以中等信心将这次攻击归因于中国的威胁行为者,更具体地说,是以前看到的针对亚洲在线赌博实体的集群。
这是基于以下特征技术和发现:
- 使用聊天软件传播恶意软件
- 使用 Microsoft 元数据合并实用程序二进制文件加载名为 MidlrtMd.dll 的恶意 DLL
- 使用 Microsoft 和 Amazon 主题域以及“api”的命令和控制 (C2) 服务器的域命名约定。子域
- C2 域托管在阿里巴巴基础架构上
- 最终payload的代码包含中文注释
研究人员向 Comm100 报告了这个问题,开发人员发布了一个干净的安装程序,版本 10.0.9。强烈建议用户立即更新实时聊天应用程序。
目前,Comm100 尚未解释攻击者如何设法访问其系统并毒害合法安装程序。
昨天,加拿大网络安全中心发布了有关该事件的警报,以帮助提高可能使用木马化版本 Comm100 Live Chat 产品的组织的意识。
在帖子中,该机构强调升级到最新的非木马版本并不足以消除妥协的风险,因为威胁参与者可能已经建立了持久性。
有关感染迹象和危害指标的更多详细信息,请查看CrowdStrike 报告的底部部分。