分类: 恶意软件

恶意软件开发者转向冷门编程语言 以躲避安全分析与检测

根据黑莓研究与情报团队周一发布的一份新报告,近期 Go(Golang)、D(DLang)、Nim 和 Rust 编程语言的使用率迎来了较大的增幅。背后的原因,则是恶意软件开发者正试图借助冷门的编程语言来躲避安全社区的分析检测、或解决开发过程中遇到的某些痛点。 特点是,恶意软件开发者正在试图利用冷门编程语言来便携加载器和释放器。通过这套组合拳,主流安全分析手段或难以察觉初步和进阶的恶意软件部署。 黑莓团队表示,为避免在目的端点上被揪出,一阶释放器与加载器正变得越来越普遍。 一旦恶意软件绕过了能够检测更典型恶意代码形式的现有安全机制,就会进一步解码、加载和部署包括特洛伊木马在内的恶意软件。 报告中点名的恶意软件,包括了 Remcos 和 NanoCore 远程访问木马(RAT),以及常见的 Cobalt Strike 信标。 然而一些拥有更多资源的恶意软件开发者,正在将他们的恶意软件通过冷门语言来重新包装,比如 Buer 或 RustyBuer 。 基于当前的趋势,安全研究人员表示,网络犯罪社区对 Go 语言的兴趣尤为浓厚。 黑莓称,有深厚背景的高级持续性威胁(APT)组织、以及商品化的恶意软件开发者,都相当有意于通过冷门语言来升级他们的武器库。 今年 6 月,CrowdStrike 亦曝光了一款勒索软件新变种,可知其借鉴了 HelloKitty / DeathRansom 和 FiveHands 的功能,且通过 Go 语言对其主要负载进行加密封包。 之所以作出这样的假设,是因为基于 Go 语言的新样本正在“半定期”地出现。其不仅涵盖了所有类型的恶意软件,还针对多个活动中的所有主要操作系统。 此外尽管 DLang 不像 Go 那样“流行”,其在 2021 开年至今的采用率也在缓步上升。 研究人员指出,通过使用新颖或不寻常的编程语言,恶意软件开发者将对安全分析人员的逆向工程工作造成很大的阻碍。 此外他们正在避免使用基于签名的检测工具,提升目标系统的交叉兼容性,且代码库本身也可能套上一层来隐藏。 最后,黑莓威胁研究副总裁 Eric Milam 评论道:恶意软件制作者以快速适应和修改利用新技能而被业界所熟知,但行业客户也必须对这样的重要趋势提高警惕,因为将来的安全形势只会变得更加严峻。   (消息及封面来源:cnBeta)

微软发高危公告:警惕 LemonDuck 恶意软件攻击

援引 The Hacker News 报道,为了提高恶意活动的效率,LemonDuck 通过关注早期的漏洞和简化攻击流程,不断完善和加强了针对 Windows 和 macOS 的攻击技术。微软表示 LemonDuck 是一种非常活跃且功能强大的恶意软件,在攻击成功之后被用于僵尸网络和加密货币挖矿。 而且它采取了更复杂的行动并加强了运作方式。最新版本已经能够绕过安全检查,通过电子邮件传播,横向移动,窃取凭证,并衍生出了更多的黑客工具。 在感染该恶意软件之后,就会迅速向设备所在的网络进行传播,窃取设备上的用户信息,并通过利用计算机资源非法开采加密货币。具体来说,LemonDuck 作为后续攻击的加载器,涉及窃取凭证和安装下一代植入物,可以作为一些威胁的网关,其中最重要的是赎金软件。 另一个值得注意的策略是能够通过删除竞争性软件和通过修复攻击者能够访问的漏洞来防止新的感染,从而从被攻击的设备中移除额外的攻击者。 目前,LemonDuck 恶意软件的攻击目标大多是制造业和物联网行业,大多数攻击发生在俄罗斯、韩国、中国、法国、德国、印度、加拿大、越南和美国。此外,微软曝光了第二个实体 LemonCat 的运作情况,它利用 LemonDuck 完成各种目标。 据报道,LemonCat 的攻击架构在 2021 年 1 月左右浮出水面,最终导致利用微软 Exchange 服务器的漏洞进行攻击。随后篡改使用 Cat 域名导致安装后门、凭证和数据被盗,以及部署恶意软件,通常是一个被称为 Ramnit 的 Windows 木马。     (消息及封面来源:cnBeta)  

Guess 遭受勒索软件攻击后出现数据泄露事件

据Techtwiddle报道,在2月发生勒索软件攻击后,流行的时尚和零售商Guess让客户了解到网络攻击后发生的数据泄露事件。2021年6月3日,Guess完成了对存储在被黑系统中的文件的全面分析,并能够确定所有受影响者的地址。从6月9日开始,Guess开始向受影响的客户发送通知信,为他们提供免费的身份入侵安全解决方案,并由Experian提供一年的免费信用监控。 据悉,该公司客户的护照号码、金融账户号码、驾驶执照号码,甚至社会安全号码都被盗。据该公司称,大约有200GB的数据受到影响。考虑到Guess在美国、加拿大、欧洲、中东和亚洲经营着超过1250个公司拥有的和独立的零售点,这并不令人惊讶。 据称DarkSide是这次勒索软件攻击的幕后黑手 Guess从未披露过勒索软件攻击背后的威胁行为者的身份。DataBreaches.Net在三个月前的一篇文章中透露,网络犯罪组织DarkSide在其网站上发布了被盗信息。在过去的一年里,DarkSide对商业网络发起了一系列攻击,要求用赎金来换取解密和恢复受害者服务器中被删除的数据。 这个网络犯罪集团在5月入侵了Colonial Pipeline公司的网络,由于这次攻击的影响,他们受到了美国政府不受欢迎的关注。东海岸出现石油短缺的事实,促使美国政府立即采取更严格的措施加强网络防御。他们甚至说,他们将把勒索软件攻击的调查提升到与恐怖主义类似的优先级。 在国家施加大规模压力后,DarkSide说他们没有想到会造成这么大的损失,他们随后宣布解散他们的黑客组织。   (消息及封面来源:cnBeta)

REvil 勒索软件组织的基础设施和网站已神秘下线

昨晚,REvil 勒索软件组织的基础设施和网站已神秘下线。该组织又称之为 Sodinokibi,利用多个明网和暗网运作,用作赎金谈判网站、勒索软件数据泄露网站和后台基础设施。从昨晚开始,REvil 勒索软件组织所使用的网站和基础设施已经神秘地关闭了。 在接受外媒 BleepingComputer 采访的时候,Tor 项目的 Al Smith 表示:“简单来说,显示的这个错误通常意味着该 Onion 网站已经离线或者被禁用。如果你想要确认的话,你需要联系 Onion 网站的管理员”。虽然 REvil 网站在一段时间内失去连接并非闻所未闻,但所有网站同时关闭的情况并不常见。 此外,decoder[.]re 明网不再能被 DNS 查询解析,可能表明该域名的 DNS 记录已被撤销,或后端 DNS 基础设施已被关闭。Recorded Future 的 Alan Liska 说,REvil 网站在美国东部时间今天上午 1 点左右下线了。 今天下午,LockBit 勒索软件的代表在 XSS 俄语黑客论坛上发帖说,据传 REvil 团伙在得知政府的传票后删除了他们的服务器。 Advanced Intel 的 Vitali Kremez 将这段话翻译出来就是:“根据未经证实的信息,REvil 服务器基础设施收到了政府的法律要求,迫使 REvil 完全擦除服务器基础设施并消失。然而,这并没有得到证实”。Kremez 解释说:“根据经验,顶级论坛的管理部门在怀疑其用户被警方控制时,会对其进行禁言”。 不久之后,XSS 管理员禁止 REvil 的 “Unknown”账户,即勒索软件团伙面向公众的代表,离开论坛。     (消息及封面来源:cnBeta)

Kaseya 遭遇严重勒索软件攻击 REvil 团伙索要高达 7000 万美元赎金

上周五,美国软件开发商 Kaseya Ltd. 遭遇勒索软件攻击,攻击主要集中在 Kaseya VSA 软件上。据悉很多大型企业和技术服务供应商使用 Kaseya VSA 来管理软件更新,并向电脑网络上的系统发布软件更新。援引外媒 The Record 报道,REvil 勒索软件团伙索要7000 万美元的赎金,以发布一个通用的的解码器。 REvil 是一个臭名昭着的勒索软件团伙。勒索软件会锁住受害者的电脑,直到受害者支付数字赎金,通常以比特币形式支付。此次网络攻击似乎是 REvil 有史以来发起的规模最大的一次。据网络安全专家称,此次攻击事件可能已导致全球多达 4 万台电脑被感染。 在暗网博客上发布的一条信息中,REvil 勒索软件团伙声称锁定了超过 100 万个系统: 上周五(02.07.2021)我们对 MSP 供应商发起了一次攻击。超过 100 万的系统被感染。如果有人想就通用解密器进行谈判–我们的价格是 70000000 美元(BTC),我们将公开发布解密器,解密所有受害者的文件,所以每个人都将能够在不到一个小时内从攻击中恢复。如果你对这样的交易感兴趣,请按照受害者的 “readme”文件说明与我们联系。 如果兑现,该要求将成为有史以来最高的勒索软件赎金。Kaseya 发言人没有在现场评论该公司是否会考虑支付 REvil 团伙的赎金要求。在撰写本报告时,Kaseya 勒索软件事件据信已影响到全球数以千计的公司。   (消息及封面来源:cnBeta)

卡巴斯基:IcedID 网银木马新变种正在疯狂传播

卡巴斯基研究人员称,一款 IcedID 网银木马的新变种正在迅速传播,检测峰值甚至达到了每日 100 个。截止 2021 年 3 月,其在德国(8.58%)、意大利(10.73%)、印度(11.59%)和美国(10.73%)等地区的传播力最为显著。与旧版木马相比,新变种利用了修改过的英文下载器,其中包含了经过压缩的 ZIP 格式恶意软件。 至于 IcedID 的感染过程,主要分成下载器和本体两个部分。前者将用户信息发送到服务器端,以供恶意软件本体使用。在将自身映射到内存后,后者会将恶意软件进一步渗透到受害者的系统中。 此外该木马还可启动其它恶意操作,比如允许威胁行为者绕过双因素身份验证(2FA)或运行恶意动态链接库(DLL)的 Web 注入。这两种方法,都允许下载和执行渗透到系统身处的其它恶意模块。 IcedID 攻击的地理位置分布 包括下载电子邮件收集器、Web 注入模块、密码抓取器、以及 hVNC 远程控制模块等组件,以执行 Web 注入、流量拦截、系统接管、以及密码窃取。 至于 QBot 和 IcedID 的区别,主要是新变种变得能够利用 x86-64 CPU 架构、从服务器端移除了假配置、且核心也略有改动,因为作者决定不将 shellcode 交换为包含一些加载程序数据的常规 PE 文件。   QBot 攻击的地理位置分布 最后,网络攻击涉及的一些 IP / 域名,涵盖了Karantino[.]xyz、uqtgo16datx03ejjz[.]xyz、188.127.254[.]114、以及 Apoxiolazio55[.]space 。   (消息及封面来源:cnBeta)

新的勒索软件被发现可以利用虚拟机发动攻击

据赛门铁克威胁猎手团队称,网络犯罪分子正在通过虚拟机运行越来越多的恶意载荷。Help Net Security调查了一次尝试性的勒索软件攻击,该攻击是通过在一些被攻击的电脑上创建的VirtualBox虚拟机执行的。与记录的RagnarLocker攻击使用Windows XP的虚拟机不同,新的威胁似乎是运行Windows 7。 此外,根据赛门铁克威胁猎手团队的Dick O’Brien的说法,该虚拟机是通过一个恶意的可执行程序部署的,该程序在行动的侦察和横向移动阶段就已经被预先安装。 到目前为止,研究人员无法确定虚拟机中的恶意软件载荷是Mount Locker还是Conti勒索软件。后者在Endpoint安全软件被检测到,需要一个用户名和密码组合,这是以前Conti勒索软件活动的特征。 假设该恶意软件驻留在虚拟机的硬盘上,一旦操作系统被完全启动,恶意程序就可以跟随自动启动。可执行文件会检查主机是否是活动目录控制器,而在其他情况下,它采用俄罗斯键盘布局来识别,如果是的话就终止操作。 赛门铁克威胁猎手团队解释说:”一种可能的解释是,攻击者是一个同时拥有Conti和Mount Locker控制权限的恶意软件联盟团伙。他们可能试图在虚拟机上运行一个有效载荷(无论是Conti还是Mount Locker),当它判断无法工作时,选择在主机上保底运行Mount Locker。” 我们知道,大多数攻击者和勒索软件运营者喜欢使用合法的、非目的性的工具来加强他们的活动,同时尽可能长时间地保持不被发现。   (消息及封面来源:cnBeta)

官方 Python 存储库被发现六款加密货币挖矿恶意软件

专注于软件供应链安全管理的研究公司 Sonatype,刚刚在官方的 Python 软件存储库(PyPI)上发现了六个包含不同恶意软件的 Python 包。这些恶意内容被藏于 setup.py 的安装说明文件中,继而导致加密货币挖矿类恶意软件被下载并安装到受害者的系统上。 Nexus 防火墙组件的分析过程(图自:Sonatype) 过去数月,这几款恶意软件包被下载量将近 5000 次,且发布者使用了 nedog123 的用户名。 learninglib 中包含的 maratlib 依赖项 以下是对应的六款恶意软件的名称与下载数: ● maratlib:2371 ● maratlib1:379 ● matplatlib-plus:913 ● mllearnlib:305 ● mplatlib:318 ● learninglib:626   LKEK 也指向了 maratlib 依赖项 其中一些明显利用了错误的单词拼接方法,并且故意碰瓷 PyPI 上热门的机器学习包文件(比如用李鬼 mplatlib 来假冒官方的 matplotlib)。 maratlib 代码中包含了严重的混淆 尽管此类攻击似乎只是为了窃取部分系统资源,但供应链安全攻击还是让 Sonatype 感到十分紧张。 0.6 代码中高亮显示的 GitHub 网址 即便代码被严重加花、并从 GitHub 上调用了其它包,但 Sonatype 还是详细解释了他们是如何检测到加密货币挖矿类恶意软件的。 aza2.sh 中的 Bash 脚本,也被发现了某些版本的 maratlib 。 最后,Sonatype 指出,此类恶意软件不大可能影响大多数运行高级反病毒防护软件的普通用户,而是更加针对那些拥有高性能 Linux 机器的机器学习研究人员们。   (消息及封面来源:cnBeta)

Clop 勒索软件团伙在警方展开突袭行动后又曝光了两位受害者

据外媒报道,就在几天前,乌克兰警方逮捕了Clop勒索软件背后组织的6名成员。上周,乌克兰国家警察(National Police of Ukraine)跟韩国和美国的官员一起进行了一次执法行动,他们逮捕了多名据信跟Clop勒索软件团伙有关的嫌疑人。这被认为是国家执法机构首次大规模逮捕涉及勒索软件的团伙。 乌克兰警方还称,他们已成功关闭了该团伙使用的服务器基础设施。但行动似乎并不完全成功。 尽管Clop行动在被捕后保持沉默,但该团伙本周在其暗网站上公布了一批新的机密数据,声称这些数据是从两位新受害者–一家农用设备零售商和一家建筑事务所–那里窃取的。 尽管上周遭到了史无前例的执法打击,但被逮捕的嫌疑人可能只包括那些在Clop行动中扮演次要角色的人。网络安全公司Intel 471表示,它认为上周的逮捕行动针对的是洗钱活动,该团伙的核心成员并没有被捕。 这家安全公司表示:“我们认为,Clop背后的任何核心人物都没有被捕。对Clop的总体影响预计不大,尽管执法部门的关注可能会导致Clop品牌被放弃,就像我们最近看到的其他勒索软件组织如DarkSide和Babuk。” Clop似乎仍在运营,但该集团能运营多久还有待观察。今年,执法部门不仅多次打击了勒索软件集团,而且俄罗斯本周也证实将开始跟美国合作定位网络罪犯。 截止到目前,俄罗斯在对付黑客方面一直采取不干涉的态度。路透社周三报道称,俄罗斯联邦安全局(FSB)局长Alexander Bortnikov表示,FSB将在未来的网络安全行动中跟美国当局合作。 Intel 471此前表示,它不认为Clop的主要成员在上周的行动中被捕,因为“他们可能住在俄罗斯”,而俄罗斯长期以来一直拒绝采取行动,这为网络罪犯提供安全港。 Clop勒索软件团伙于2019年初首次被发现,此后该组织跟多起备受瞩目的攻击事件被发现存在关联。这些事件包括美国制药巨头ExecuPharm在2020年4月的数据泄露事件、Accellion最近的数据泄露事件。   (消息及封面来源:cnBeta)

新的罗宾汉式恶意软件只针对 Windows 上的盗版软件用户

安全公司Sophos发表了一份新的研究报告–《“义务劳动”式恶意软件在阻止海盗湾的同时赶走软件盗版者》,其中详细介绍了一个网络攻击活动,该活动以盗版软件的用户为目标,恶意软件旨在阻止对托管盗版软件的网站的访问。 恶意软件被伪装成流行游戏的破解版,如《Minecraft》和《Among Us》,以及微软Office、安全软件等生产力应用程序。这种恶意软件并不寻求窃取密码或向计算机所有者勒索赎金,而是阻止受害者访问一长串网站,包括许多分发盗版软件的网站。从本质上讲,这是一个自带干粮义务劳动的恶意软件,它只针对软件盗版者。 伪装后的恶意软件通过BitTorrent协议从ThePirateBay(领先的数字文件共享网站)上的一个账户分发。这些链接和恶意软件文件也被托管在Discord上。 “从表面上看,对手的目标和工具表明这可能是某种粗制滥造的反盗版义务劳动。然而,攻击者庞大的潜在目标受众–从游戏玩家到商业专业人士–再加上过时的和新的工具、技术和程序(TTP)的奇怪组合,以及被恶意软件封锁的奇怪的网站列表,都使这次行动的最终目的有点模糊不清。” – 安德鲁-勃兰特,索福斯公司首席威胁研究员 修改HOSTS文件是一种粗略的方法,可以防止计算机能够到达一个网站地址。它很有效,是的,但任何人都可以从HOSTS文件中删除条目来解决问题。 恶意文件是面向64位Windows 10编译的,然后用假的数字证书签名。在现代Windows电脑上,该恶意软件必须以管理员权限用户的身份运行,因此,更有意识和谨慎的用户将能够轻松避免攻击。该恶意软件在运行时还会触发一个假的错误信息,要求人们重新安装软件。Sophos研究人员认为这可能是为了打消怀疑。   (消息及封面来源:cnBeta)