黑客利用天文望远镜拍摄的图像传播恶意软件

2022-08-31 0 546

据Bleeping Computer网站8月30日消息,威胁分析师发现了一个名为“GO#WEBBFUSCATOR”的新恶意软件活动,该活动依赖网络钓鱼电子邮件、恶意文档和来自詹姆斯韦伯望远镜的空间图像来传播恶意软件。

黑客利用天文望远镜拍摄的图像传播恶意软件

该恶意软件由 Golang 编写,Golang 因其跨平台的特性(Windows、Linux、Mac)以及对逆向工程和分析的强抵抗力而越发得到网络犯罪分子的青睐。在 Securonix 的研究人员最近发现的活动中,攻击者会在 VirusTotal 扫描平台上投放当前未被防病毒引擎标记为病毒的有效负载。

感染链

感染始于一封带有“Geos-Rates.docx”恶意文档的网络钓鱼电子邮件,该文档会下载模板文件,其中包含一个经过混淆的 VBS 宏,如果在 Office 套件中启用了宏,该宏会自动执行。之后,该代码从一个远程资源(“xmlschemeformat[.]com”)下载 JPG 图片(“OxB36F8GEEC634.jpg”),使用 certutil.exe 将其解码为可执行文件(“msdllupdate.exe”)并启动。

以图像查看器(左)和文本编辑器(右)打开图片文件

在图像查看器中,这是一张由 NASA 的詹姆斯韦伯望远镜于 2022 年 7 月发布的星系团 SMACS 0723图片,若使用文本编辑器打开,则会显示伪装成内含证书的额外内容,其本质是Base64编码的恶意有效载荷。有效载荷的字符串使用ROT25进一步混淆,而二进制文件使用XOR来隐藏Golang程序集,以防止分析人员发现。除此之外,这些程序集还使用了案例修改来避免安全工具基于签名的检测。

根据动态恶意软件分析推断出的情况,该可执行程序通过复制到’%localappdata%%microsoft\vault\’并添加一个新的注册表键来实现持久性,之后便与命令和控制(C2)服务器建立了DNS连接,并发送加密查询。C2可通过设置连接请求之间的时间间隔、更改nslookup超时或通过Windows cmd.exe工具发出执行命令来响应恶意软件。

在测试过程中,Securonix观察到攻击者在其测试系统上运行任意的枚举命令,这是一个标准侦察步骤的第一步。研究人员指出,用于该活动的域名注册时间较新,最早的注册时间是 2022 年 5 月 29 日。

Securonix 提供了一组危害指标 (IoC),其中包括基于网络和主机的指标。

转载来自FreeBuf.COM

收藏 (0) 打赏

感谢您的支持,我会继续努力的!

打开USDT(trc-20)扫一扫,即可进行扫码打赏哦,分享从这里开始,精彩与您同在
点赞 (0)

Ts:本站所有内容均为互联网收集整理和网友上传。仅限于学习研究,请必须在24小时内删除。否则由此引发的法律纠纷及连带责任本站概不承担。

如侵犯到您的合法权益,请联系我们删除侵权资源!

分享驿站 行业资讯 黑客利用天文望远镜拍摄的图像传播恶意软件 https://www.fxe.cc/1395.html

常见问题
  • 如何遇到网站源码不会安装,可以尝试搜索“程序名称 教程”,如dedecms 教程。 也可以查看 网站安装常见问题总结。
查看详情
  • 由于下载服务的特殊性,一旦您购买使用了下载服务,就不接受退款申请。详情请参考《分享驿站服务》条例。
查看详情

相关文章

官方客服团队

为您解决烦忧 - 24小时在线 专业服务