Ursnif 恶意软件(又名 Gozi)的新版本作为通用后门出现,剥离了其典型的银行木马功能。
这一变化可能表明新版本的运营商正专注于分发勒索软件。
事件响应公司Mandiant的研究人员于 2022 年 6 月 23 日发现了代号为“LDR4”的新变体 ,他们认为它是由过去几年维护 RM3 版本恶意软件的同一参与者分发的。

新的 Ursnif 活动
Ursnif LDR4 变种是通过虚假的工作邀请电子邮件发送的,其中包含指向冒充合法公司的网站的链接。
冒充招聘人员的策略对于 Ursnif 团伙来说并不新鲜,他们以前也使用过这种策略。
恶意站点的访问者被要求解决验证码挑战,以下载包含从远程资源获取恶意软件有效负载的宏代码的 Excel 文档。

LDR4 变体以 DLL 形式出现(“loader.dll”),由可移植的可执行加密器打包并使用有效证书进行签名。这有助于它逃避系统上安全工具的检测。
Mandiant 分析 LDR4 的分析师注意到,所有银行功能都已从新的 Ursnif 变体中删除,并且其代码已被清理和简化。
后门时代
执行后,新的 Ursnif 从 Windows 注册表收集系统服务数据并生成用户和系统 ID。
接下来,它使用配置文件中可用的 RSA 密钥连接到命令和控制服务器。然后它尝试检索要在主机上执行的命令列表。

LDR4 变体支持的命令如下:
- 将 DLL 模块加载到当前进程中
- 检索 cmd.exe 反向 shell 的状态
- 启动 cmd.exe 反向shell
- 停止 cmd.exe 反向 shell
- 重启 cmd.exe 反向shell
- 运行任意命令
- 终止
使用远程 IP 地址建立反向 shell 的内置命令 shell 系统并不新鲜,但现在它被嵌入到恶意软件二进制文件中,而不是像以前的变体那样使用额外的模块。
插件系统也已被淘汰,因为将 DLL 模块加载到当前进程中的命令可以根据需要扩展恶意软件的功能。
Mandiant 看到的一个例子是 VNC(虚拟网络计算)模块(“vnc64_1.dll”),它使 LDR4 能够对受感染的系统执行“动手”攻击。
在最新版本中,Ursnif LDR4 运营商似乎已针对更具体的任务改进了代码,即为其他恶意软件打开大门的初始妥协工具。
Mandiant 指出,勒索软件操作很可能是开发人员前进的方向,因为研究人员在一个地下黑客社区中发现,一个威胁行为者正在寻找合作伙伴来分发勒索软件和 RM3 版本的 Ursnif。
转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » Ursnif恶意软件从银行账户盗窃切换到初始访问