最新消息:本站介绍:国外VPS、云服务器,海外服务器,一手资源推荐平台

黑客在詹姆斯韦伯望远镜图像中隐藏恶意软件

网络安全 快米云 来源:快米云 108浏览

威胁分析师发现了一个名为“GO#WEBBFUSCATOR”的新恶意软件活动,该活动依赖网络钓鱼电子邮件、恶意文档和来自詹姆斯韦伯望远镜的空间图像来传播恶意软件。

该恶意软件是用 Golang 编写的,Golang 是一种在网络犯罪分子中越来越受欢迎的编程语言,因为它是跨平台的(Windows、Linux、Mac),并且对逆向工程和分析的抵抗力更强。

在 Securonix 的研究人员最近发现的活动中,攻击者会在 VirusTotal 扫描平台上投放当前未被防病毒引擎标记为恶意的有效负载。

感染链
感染始于一封带有恶意文档“Geos-Rates.docx”的网络钓鱼电子邮件,该文档会下载模板文件。

该文件包含一个经过混淆的 VBS 宏,如果在 Office 套件中启用了宏,该宏会自动执行。然后,代码从远程资源(“xmlschemeformat[.]com”)下载 JPG 图像(“OxB36F8GEEC634.jpg”),使用 certutil.exe 将其解码为可执行文件(“msdllupdate.exe”),然后启动它。

混淆的 VBS 宏(左)和用于下载 JPG 文件的解码命令(右) (Securonix)
在图像查看器中,.JPG 显示了由 NASA 于 2022 年 7 月发布的星系团 SMACS 0723。

但是,如果使用文本编辑器打开,图像会显示伪装成包含证书的附加内容,这是一个 Base64 编码的有效负载,会变成恶意的 64 位可执行文件。

图像查看器(左)和文本编辑器(右)上的相同文件 (Securonix)
有效载荷的字符串使用 ROT25 进一步混淆,而二进制文件使用 XOR 向分析师隐藏 Golang 程序集。最重要的是,程序集使用案例更改来避免安全工具基于签名的检测。

恶意软件功能
根据可以通过动态恶意软件分析推断的内容,可执行文件通过将自身复制到“%%localappdata%%\microsoft\vault\”并添加新的注册表项来实现持久性。

执行后,恶意软件会与命令和控制 (C2) 服务器建立 DNS 连接并发送加密查询。

Securonix 在报告中解释说: “加密的消息在 C2 服务器上被读取和解密,从而揭示了其原始内容。 ”

“在 GO#WEBBFUSCATOR 的情况下,与 C2 服务器的通信是使用 `TXT-DNS` 请求实现的,该请求使用 `nslookup` 请求到攻击者控制的名称服务器。所有信息都使用 Base64 进行编码。”

C2 可以通过设置连接请求之间的时间间隔、更改 nslookup 超时或发送命令以通过 Windows cmd.exe 工具执行来响应恶意软件。

在测试期间,Securonix 观察到威胁参与者在其测试系统上运行任意枚举命令,这是标准的第一个侦察步骤。

研究人员指出,用于该活动的域名是最近注册的,最早的注册时间是 2022 年 5 月 29 日。

Securonix 提供了一组危害指标 (IoC),其中包括基于网络和主机的指标。

转载请注明:VPS资讯_海外云服务器资讯_海外服务器资讯_IDC新闻 » 黑客在詹姆斯韦伯望远镜图像中隐藏恶意软件