标签: Necurs

垃圾邮件僵尸网络运营商 Necurs 采用新技术避免检测

外媒近日消息,全球最大的垃圾邮件僵尸网络运营商 Necurs 目前正在使用一种新的逃避技术,其通过 Internet 快捷方式或 .URL 文件来绕过检测。Necurs 僵尸网络自 2012 年以来一直存在,它由全世界数百万台被感染的电脑组成,目前趋势科技观察到其恶意软件已经得到改进,企图能够成功地打败网络安全措施。 Necurs 新变种试图通过向用户发送一个包含压缩文件的恶意电子邮件来躲开检测。该文件一旦被解压缩,就会显示一个扩展名为 . url 的文件,.url 扩展名文件与 Windows 快捷方式文件相关联,该快捷方式文件会在浏览器中打开一个指向远程脚本文件活动的 URL。随后,该脚本会生成了一个名为 QuantLoader 的下载程序(这是一个普通的恶意软件家族)来下载并执行最终的有效负载。 图 1.先前版本的恶意软件图 图2. 演变的 Necurs 恶意软件图 以前,Necurs的JavaScript下载器会下载最终的有效载荷。但在最新版本中,是通过远程脚本生成 QUANTLOADER  下载程序 (由趋势科技检测为 TROJ_QUANT) ,然后下载最终的有效负载,这是添加到 Necurs 的 感染链上的另一层。 QUANTLOADER 的使用可能是双重的: 首先,它会在下载最终有效负载之前增加另一个下载阶段,以此来混淆并逃避行为检测。 其次,QUANTLOADER 本质上是持久性的 , 它会删除自身的副本并创建一个自动运行注册表,以便在启动时执行。 根据趋势科技的说法,为了找到其他有效的方法来欺骗受害者,并且消除针对它的反措施,Necurs 事实上在不断演变,比如说为了使用户更加相信,攻击通过 Internet 快捷方式具有 INI 文件格式的内容来伪造成文件夹图标。 注意,除了伪装成文件夹的图标之外,文件名还被制作成典型的文件夹名称,例如上图所示的 IMG-20180404-9AC4DD、SCN-20180404-268CC1 和 PIC-20180404-ADEEEE 等等。 趋势科技分析报告: 《Necurs Evolves to Evade Spam Detection via Internet Shortcut File》 消息来源:Security Affairs,编译:榆榆,审核:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

全球最大僵尸网络 Necurs: 一反常态“殷勤”推销 Swisscoin 加密货币

外媒 1 月 17 日消息,全球最大的垃圾邮件僵尸网络 Necurs 已发出数百万封垃圾邮件,旨在推送一种鲜为人知的加密货币——Swisscoin 。目前垃圾邮件活动已导致 Swisscoin 损失了最初交易价格的 40% ,不过 Necurs 在其中扮演什么角色还尚未可知。 通常这种垃圾邮件被称为抽运和转储,依赖于发送大量的垃圾邮件来促进用户对特定的低价股票的兴趣。垃圾邮件发送者预先以低价购买股票,当垃圾邮件活动抬高价格时,则以较高的价格出售股票。 第一次推动加密货币 Necurs 多年来一直从事发送垃圾邮件的网络犯罪活动,比如传播 Dridex 银行木马和一些勒索软件。但值得注意的是,Necurs 于本周第一次通过大型垃圾邮件活动宣传 Swisscoin 加密货币 ,而不是像往常一样推送低价股票。 有关 Swisscoin 的交易行为在去年的一份报告中被描述为一种多层面营销 ( MLM ) 的庞氏骗局。这种交易经过短暂停止后于 1 月 15 日恢复运营,并且垃圾邮件也在当天开始传播。目前 Necurs 僵尸网络已派出三种不同的垃圾邮件,以下为邮件主题: This crypto coin could go up fifty thousand percent this year (这个加密货币今年可能会上涨 5 万美元) Let me tell you about one crypto currency that could turn 1000 bucks into 1 million(让我告诉你一种可以将 1000 美元变成 100 万美元的加密货币) Forget about bitcoin, there’s a way better coin you can buy (忘掉比特币吧,你可以买到更好的加密货币) 据初步统计,自从垃圾邮件发出后,加密货币损失了其最初交易价格的 40%。 因为之前没有类似的垃圾邮件活动作为参考物,所以目前并不清楚 Necurs 对 Swisscoin 交易价格有什么影响,不过研究人员认为比特币的下滑可能会对 Swisscoin 的价格造成一些波动。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

新勒索软件 Scarab 变种已通过僵尸网络 Necurs 感染全球数百万用户设备

据外媒 11 月 25 日报道,网络安全公司 F- Secure 和 Forcepoint 研究人员于本周五发现新勒索软件 Scarab 变种正通过僵尸网络 Necurs 向数百万用户发起大规模垃圾邮件活动。目前,黑客仅在短短几个小时内就已发出 1250 万封垃圾邮件。 僵尸网络 Necurs 是全球垃圾邮件最大的 “发送者” 之一,其每月可感染逾 600 万受害主机,并诱导用户打开附件后在线下载恶意软件。此外,Necurs 在过去数月内推动了多款恶意软件的传播,其中包括 Locky、JAFF、GlobeImposter、Dridex 和 Trickbot。 知情人士透露,勒索软件 Scarab 于今年 6 月由安全专家 Michael Gillespie 率先发现,其代码主要根据勒索软件的开源验证编写而成。调查显示,黑客在此次攻击活动中主要通过租用的僵尸网络将附带 Scarab 的电子邮件伪装成以 Lexmark 、HP 、Canon 、Epson 为主题的扫描档案发送至目标邮箱,并在用户打开后感染受害系统。随后,研究人员发现该电子邮件附带的 7 份 Zip 文件包含一个 Visual Basic 脚本,可充当 dropper 木马感染目标设备。此外,他们还通过 ID-Ransomware 服务针对受害系统进行了一系列检测并清楚的看出 Scarab 每日感染数量。 近期,研究人员发现黑客所使用的变体还可以利用 “[suupport@protonmail.com]. scarab” 扩展加密目标用户原始文件名后删除文件,从而使其无法自行恢复。如果用户想要还原文件,则需通过邮件恶意软件或 BitMessage 联系 Scarab 幕后黑手支付赎金。 消息来源:securityaffairs.co,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

勒索软件 Locky 出现新型变种:依赖僵尸网络 Necurs 与 DDE 机制展开新一轮攻击浪潮

HackerNews.cc 11 月 12 日消息,网络安全公司 Avira 研究人员近期发现勒索软件 Locky 出现新型变种,不仅可以通过僵尸网络 Necurs 开展大规模钓鱼攻击活动,还可利用动态数据交换(DDE)协议进行数据传输,从而规避安全软件检测的同时窃取用户重要信息。 研究显示,目前黑客主要通过合法的 Libre 与 Office 文件肆意分发恶意软件。一旦用户打开该恶意文件后系统将会自动触发一系列程序,从而最终在受害设备上对用户文件进行加密处理后发送到指定 C&C 服务器。研究人员在分析该恶意文件时还发现其中包含一份 LNK 文档,允许黑客通过粘贴的方式将命令复制到用户文本编辑器中,以便运行 PowerShell 脚本。 研究人员表示,该脚本内容清晰、极易阅读,其目的是从脚本嵌入的链接中下载另一个 PowerShell 脚本并通过 Invoke-Expression 函数运行。然而,第二个脚本所连接的服务器由黑客控制,并在下载该脚本时自动运行一份 Windows 可执行文件,其中包含多个阶段的混淆代码,以致诱导用户认为这是一个安全的文件。目前,研究人员认为勒索软件 Locky 的快速演变在当今的威胁领域中着实令人担忧,因为它还将继续进行深度 “优化”,从而感染更多设备。 原作者:Pierluigi Paganini,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接