HackerNews 编译，转载请注明出处： Check Point 周一发布的一份新报告显示，一种大规模恶意软件活动被发现利用与 Adlice 产品套件相关的易受攻击的 Windows 驱动程序，以规避检测并传递 Gh0st RAT 恶意软件。 “为了进一步规避检测，攻击者故意通过修改特定的 PE 部分生成了 2.0.2 驱动程序的多个变体（具有不同的哈希值），同时保持签名有效，” Check Point 表示。 这家网络安全公司称，此次恶意活动涉及数千个第一阶段恶意样本，这些样本被用来部署一个程序，该程序能够通过所谓的自带易受攻击驱动程序（BYOVD）攻击来终止终端检测与响应（EDR）软件。 在 VirusTotal 平台上，已识别出多达 2500 种不同的旧版 2.0.2 版本的易受攻击的 RogueKiller 反rootkit 驱动程序 truesight.sys 变体，尽管实际数量可能更高。EDR 杀手模块于 2024 年 6 月首次被检测和记录。 Truesight 驱动程序存在的问题是，影响 3.4.0 以下所有版本的任意进程终止漏洞，此前已被利用来设计概念验证（PoC）漏洞利用程序，如 Darkside 和 TrueSightKiller，这些程序自 2023 年 11 月以来就已公开。 2024 年 3 月，SonicWall 公布了一种名为 DBatLoader 的加载器的详细信息，该加载器被发现利用 truesight.sys 驱动程序来终止安全解决方案，然后再传递 Remcos RAT 恶意软件。 有证据表明，此次攻击活动可能是由一个名为 Silver Fox APT 的威胁行为者所为，因为在执行链和使用的技术上存在一定程度的重叠，包括“感染向量、执行链、初始阶段样本的相似性以及历史目标模式”。 此外，约 75% 的受害者位于中国，其余受害者主要集中在亚洲其他地区，包括新加坡和台湾。 攻击序列涉及分发通常伪装成合法应用程序的第一阶段工具，这些工具通过提供奢侈品交易的欺骗性网站和流行消息应用程序（如 Telegram）中的欺诈渠道进行传播。 这些样本充当下载程序，释放旧版 Truesight 驱动程序以及模仿常见文件类型（如 PNG、JPG 和 GIF）的下一阶段有效载荷。第二阶段恶意软件随后检索另一个恶意软件，该恶意软件反过来加载 EDR 杀手模块和 Gh0st RAT 恶意软件。 “虽然旧版 Truesight 驱动程序（2.0.2 版本）的变体通常由初始阶段样本下载和安装，但如果系统上尚未安装该驱动程序，它们也可以直接由 EDR/AV 杀手模块部署，” Check Point 解释道。 “这表明，尽管 EDR/AV 杀手模块已完全集成到此次活动中，但它能够独立于早期阶段运行。” 该模块采用 BYOVD 技术，利用易受攻击的驱动程序来终止与某些安全软件相关的进程。通过这种方式，攻击能够绕过微软易受攻击驱动程序阻止列表，这是一种基于哈希值的 Windows 机制，旨在保护系统免受已知易受攻击驱动程序的威胁。 攻击最终部署了一种名为 HiddenGh0st 的 Gh0st RAT 变体，该变体旨在远程控制被攻陷的系统，为攻击者提供进行数据盗窃、监视和系统操纵的途径。 截至 2024 年 12 月 17 日，微软已更新驱动程序阻止列表，将相关驱动程序纳入其中，有效阻止了利用该驱动程序的攻击向量。 “通过修改驱动程序的特定部分，同时保留其数字签名，攻击者绕过了常见的检测方法，包括最新的微软易受攻击驱动程序阻止列表和 LOLDrivers 检测机制，使他们能够长时间躲避检测，” Check Point 表示。 “利用任意进程终止漏洞，使 EDR/AV 杀手模块能够针对和禁用与安全解决方案相关联的进程，进一步增强了此次攻击活动的隐蔽性。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： eSentire 威胁响应单元（TRU）披露了一项针对 Mac 用户的新活动，该活动利用 Poseidon Stealer 恶意软件。此活动通过假冒合法的 DeepSeek 平台网站，诱骗用户下载并执行恶意负载。 感染始于用户被重定向到假冒的 DeepSeek 网站 deepseek.exploreio[.]net，通常通过恶意广告。该假冒网站与真实的 DeepSeek 网站非常相似，欺骗用户点击 “立即开始” 按钮，这将引导用户进入下载页面。点击 “下载 Mac OS” 后，会下载一个恶意的 DMG 文件。 下载的 DMG 文件包含一个伪装成 DeepSeek 应用程序的 shell 脚本。当用户将此 “应用程序” 拖放到终端时，脚本会执行，绕过 macOS GateKeeper 安全措施。脚本随后下载并执行 Poseidon Stealer 负载。 Poseidon Stealer 是一种恶意软件即服务（MaaS），针对基于 Chromium/Firefox 的浏览器中的敏感数据，包括信用卡、密码、书签和加密货币钱包数据。它还收集系统信息，窃取密钥链数据库，并从桌面、下载和文档目录中窃取文件。 该攻击通过利用终端执行方法绕过了 Gatekeeper 保护。Poseidon Stealer 负载采用反调试和字符串加密技术来阻碍分析。恶意软件还包含检查是否在沙盒或研究环境中运行，如果检测到则会终止自身。 用户应保持警惕，防范假冒软件下载网站，并实施主动安全措施以降低风险。   消息来源：Cybersecurity News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员警告称，一种新的恶意软件活动利用破解软件作为诱饵，传播信息窃取器，如 Lumma 和 ACR Stealer。 AhnLab 安全情报中心（ASEC）表示，自 2025 年 1 月以来，ACR Stealer 的分发量显著增加。 这种信息窃取恶意软件的一个显著特点是使用了一种称为 dead drop resolver 的技术来提取实际的命令与控制（C2）服务器。这包括依赖于合法服务，如 Steam、Telegram 的 Telegraph、Google Forms 和 Google Slides。 “威胁行为者将实际的 C2 域名以 Base64 编码的形式输入到特定页面，”ASEC 表示。“恶意软件访问该页面，解析字符串，并获取实际的 C2 域名地址以执行恶意行为。” ACR Stealer 之前通过 Hijack Loader 恶意软件分发，能够从受攻陷的系统中窃取广泛的信息，包括文件、网络浏览器数据和加密货币钱包扩展。 与此同时，ASEC 还披露了另一项活动，该活动利用扩展名为 “MSC” 的文件，这些文件可以通过 Microsoft Management Console（MMC）执行，来传递 Rhadamanthys 信息窃取器。 “有两种类型的 MSC 恶意软件：一种利用 apds.dll 的漏洞（CVE-2024-43572），另一种使用控制台任务面板执行‘命令’，”这家韩国公司表示。 “MSC 文件伪装成 MS Word 文档。当点击‘打开’按钮时，它会从外部来源下载并执行一个 PowerShell 脚本。下载的 PowerShell 脚本包含一个 EXE 文件（Rhadamanthys）。” CVE-2024-43572，也称为 GrimResource，于 2024 年 6 月首次被 Elastic 安全实验室记录为被恶意行为者利用的零日漏洞。微软在 2024 年 10 月修复了该漏洞。 此外，还观察到恶意软件活动利用聊天支持平台，如 Zendesk，伪装成客户，诱骗不知情的支持代理下载一种名为 Zhong Stealer 的信息窃取器。 根据 Hudson Rock 最近发布的一份报告，在过去的几年中，超过 3000 万台计算机被信息窃取器感染，导致企业凭据和会话 cookie 被窃取，这些凭据和会话 cookie 随后被网络犯罪分子在地下论坛上出售给其他行为者以牟利。 买家可以利用这些凭据获得的访问权限，进行自己的后续攻击行动，导致严重风险。这些发展突显了信息窃取器作为初始访问向量的作用，为敏感企业环境提供了立足点。 “网络犯罪分子可以以每台计算机（日志）10 美元的价格，从从事机密国防和军事部门工作的员工那里购买被盗数据，”Hudson Rock 表示。“信息窃取器情报不仅仅是检测谁被感染——更重要的是理解被攻陷凭据和第三方风险的整个网络。” 在过去一年中，威胁行为者还加大了通过一种称为 ClickFix 的技术传播各种恶意软件家族的努力，这通常涉及将用户重定向到假的 CAPTCHA 验证页面，指示他们复制并执行恶意的 PowerShell 命令。其中一种被投放的有效载荷是 I2PRAT，它利用 I2P 匿名网络来隐藏其最终的 C2 服务器。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一个名为 Windows-WiFi-Password-Stealer 的 GitHub 仓库引发了网络安全专业人士的关注。 该仓库由用户托管，提供了一个基于 Python 的脚本，能够从 Windows 系统中提取保存的 Wi-Fi 凭证，并将其保存到文本文件中。 尽管该仓库声称用于教育目的，但其潜在的恶意使用风险不容忽视。 恶意软件详情 根据 X 上的一篇网络地下帖子，该仓库包含以下关键文件： Password Stealer.py：执行凭证提取过程的主脚本。 requirements.txt：运行脚本所需的 Python 依赖项列表。 README.md：包含安装和使用说明的文档。 该工具执行 netsh wlan show profile，这是一个合法的网络 shell 命令，用于获取与系统关联的服务集标识符（SSID）列表。 对于每个 SSID，该工具随后运行 netsh wlan export profile，生成包含配置详细信息的 XML 文件，包括明文的预共享密钥（PSK）。 这些 XML 文件暂时存储在系统的当前工作目录中，由 Python 脚本解析以提取密码，随后被删除以规避检测。 该方法利用了 Windows 对 Wi-Fi 凭证的原生处理方式，这些凭证以加密形式存储在凭据管理器中。 该工具的简单性和开源性质降低了恶意使用的门槛。用 Python 编写，依赖项极少，可使用 PyInstaller 转换为独立可执行文件。 要使用该工具，用户需安装依赖项： pip install -r requirements.txt 此外，README 提供了使用 PyInstaller 将脚本转换为可执行文件的说明：   pyinstaller –onefile PasswordStealer.py 这一功能简化了部署，使非技术用户也能轻松使用，增加了其被恶意利用的可能性。GitHub 仓库提供了清晰的编译说明，即使是新手用户也能生成针对特定攻击场景的有效载荷。 此类工具在 GitHub 等平台上的公开可用性带来了显著风险。恶意行为者可以轻松地将代码重新用于凭证收集，从而实现未经授权的网络访问或在受攻陷环境中进行横向移动。 组织应强制实施多因素认证用于 Wi-Fi 访问，并定期轮换 PSK，以减少凭证泄露的影响。 尽管该工具本身并非固有恶意，但其滥用突显了操作系统处理敏感凭证方式的关键漏洞。   消息来源：Cybersecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一款名为 SpyLend 的安卓恶意软件应用已在 Google Play 上下载超过 10 万次，该应用伪装成金融工具，但实际上是一个针对印度用户的掠夺性贷款应用。 该应用属于一系列名为 “SpyLoan” 的恶意安卓应用程序，这些应用伪装成合法的金融工具或贷款服务，但实际上会从设备中窃取数据，用于掠夺性贷款。 这些应用以快速、便捷的贷款承诺吸引用户，通常要求的文件很少，提供的条件也很有吸引力。然而，安装后，它们会请求过多的权限，允许应用窃取个人数据，如联系人、通话记录、短信、照片和设备位置。 这些被窃取的信息随后被用于骚扰、敲诈和勒索用户，特别是当他们未能满足应用的还款条款时。 贷款诈骗和敲诈 网络安全公司 CYFIRMA 发现了一款名为 “Finance Simplified” 的安卓应用，该应用声称是一个金融管理应用，并在 Google Play 上获得了 10 万次下载。 然而，CYFIRMA 表示，该应用在某些国家（如印度）表现出更恶意的行为，从用户的设备中窃取数据，用于掠夺性贷款。研究人员还发现了其他恶意 APK，似乎是同一恶意软件活动的变种，分别是 KreditApple、PokketMe 和 StashFur。 尽管该应用现已从 Google Play 上移除，但它可能继续在后台运行，从受感染的设备中收集敏感信息。 恶意应用在 Google Play 上 Google Play 上 “Finance Simplified” 的多条用户评论显示，该应用提供的贷款服务会试图敲诈借款人，如果他们不支付高利率。 “非常非常非常糟糕的应用，他们提供的贷款金额很低，并且会勒索支付高额利息，否则会将照片编辑成裸照并进行勒索，”一位用户对这款已被下架的应用进行了评价。 这些应用还声称自己是注册的非银行金融机构（NBFC），但 CYFIRMA 表示这是不真实的。 为了在 Google Play 上躲避检测，Finance Simplified 使用 WebView 将用户重定向到外部网站，从那里下载托管在 Amazon EC2 服务器上的贷款应用 APK。 “Finance Simplified 应用似乎专门针对印度用户，显示并推荐贷款应用，加载一个 WebView，显示一个重定向到外部网站的贷款服务，从那里下载一个单独的贷款 APK 文件，”CYFIRMA 解释道。 研究人员发现，如果用户的位置是印度，该应用只会加载具有欺骗性的界面，这表明该活动具有特定的目标。 应用窃取的敏感数据 该恶意软件活动更令人担忧的方面是数据收集，包括存储在用户设备上的敏感个人信息。 以下是该恶意软件窃取的数据摘要： – 联系人、通话记录、短信和设备详细信息。 – 来自内部和外部存储的照片、视频和文档。 – 实时位置跟踪（每 3 秒更新一次）、历史位置数据和 IP 地址。 – 最近复制到剪贴板的 20 条文本输入。 – 贷款历史和银行短信交易记录。 尽管这些数据主要用于敲诈那些错误地申请贷款的受害者，但也可能用于金融诈骗或转售给网络犯罪分子以牟利。 SpyLend 运营概述 如果您怀疑您的设备被上述任何应用或类似应用感染，请立即删除它们，重置权限，更改银行账户密码，并进行设备扫描。 Google 的 Play Protect 工具可以检测并阻止已知的恶意软件和掠夺性应用，因此请确保您的设备上已激活该工具。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 据观察，一场传播 XLoader 恶意软件的恶意活动利用了与 Eclipse 基金会相关的合法应用程序，采用了 DLL 侧载技术。 “此次攻击中使用的合法应用程序 jarsigner，是在安装 Eclipse 基金会分发的 IDE 软件包过程中创建的文件，它是一种用于签署 JAR（Java 归档）文件的工具。” AhnLab 安全情报中心（ASEC）表示。 这家韩国网络安全公司指出，该恶意软件以压缩的 ZIP 压缩包形式传播，其中包含合法的可执行文件以及用于侧载以启动恶意软件的 DLL 文件： Documents2012.exe：合法的 jarsigner.exe 二进制文件的重命名版本 jli.dll：由威胁行为者修改的 DLL 文件，用于解密并注入 concrt140e.dll concrt140e.dll：XLoader 载荷 当运行 “Documents2012.exe” 时，攻击链进入恶意阶段，触发修改后的 “jli.dll” 库的执行，从而加载 XLoader 恶意软件。 “分发的 concrt140e.dll 文件是一个加密的载荷，在攻击过程中解密，并注入到合法文件 aspnet_wp.exe 中执行，” ASEC 说道。 “注入的恶意软件 XLoader 窃取用户的 PC 和浏览器信息等敏感信息，并执行下载其他恶意软件等各种活动。” 作为 Formbook 恶意软件的后续版本，XLoader 于 2020 年首次在野外被发现。它以恶意软件即服务（MaaS）模式出售给其他犯罪分子。2023 年 8 月，一种伪装成 Microsoft Office 的 macOS 版信息窃取程序和键盘记录器被发现。 Zscaler ThreatLabz 在本月发布的两部分报告中表示：“XLoader 6 和 7 版本增加了额外的混淆和加密层，旨在保护关键代码和信息，以规避基于签名的检测并增加逆向工程的难度。” 进一步分析显示，XLoader 采用了之前在 SmokeLoader 中观察到的技术，包括在运行时加密部分代码和规避 NTDLL 钩子。 对恶意软件的进一步分析还发现，它使用了硬编码的诱饵列表，将真实的命令与控制（C2）网络通信与合法网站的流量混合在一起。诱饵和真实的 C2 服务器都使用不同的密钥和算法进行了加密。 就像 Pushdo 等恶意软件家族一样，使用诱饵的目的是生成到合法域名的网络流量，以掩盖真实的 C2 流量。 DLL 侧载还被 SmartApeSG（又名 ZPHP 或 HANEYMANEY）威胁行为者滥用，通过被 JavaScript 网页注入破坏的合法网站传递 NetSupport RAT，远程访问木马作为传递 StealC 窃取器的通道。 随着 Zscaler 详细介绍了另外两个名为 NodeLoader 和 RiseLoader 的恶意软件加载器，它们被用于传播各种信息窃取程序、加密货币矿机和僵尸网络恶意软件，如 Vidar、Lumma、Phemedrone、XMRig 和 Socks5Systemz。 “RiseLoader 和 RisePro 在其网络通信协议的多个方面存在相似之处，包括消息结构、初始化过程和载荷结构，” 它指出，“这些重叠可能表明两个恶意软件家族背后是同一个威胁行为者。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 自由职业软件开发者正成为一项持续活动的目标，该活动利用以工作面试为主题诱饵来传播跨平台恶意软件家族，即BeaverTail和InvisibleFerret。据《黑客新闻》报道，这一与朝鲜有关的活动被命名为“欺骗性开发”（DeceptiveDevelopment），与被追踪为“传染性面试”（Contagious Interview，又称CL-STA-0240）、DEV#POPPER、著名千里马（Famous Chollima）、PurpleBravo和坚韧的蓬山（Tenacious Pungsan）的集群有重叠。该活动自2023年底以来一直在进行。 “‘欺骗性开发’通过在求职和自由职业网站上进行鱼叉式网络钓鱼，针对自由职业软件开发者，旨在窃取加密货币钱包以及浏览器和密码管理器中的登录信息，”网络安全公司ESET在一份与《黑客新闻》共享的报告中表示。 2024年11月，ESET向《黑客新闻》证实，“欺骗性开发”与“传染性面试”存在重叠，将其归类为一个新的拉撒路集团（Lazarus Group）活动，该活动旨在进行加密货币盗窃。 这些攻击链的特点是利用社交媒体上的虚假招聘人员资料联系潜在目标，并与他们分享托管在GitHub、GitLab或Bitbucket上的特洛伊木马代码库，以工作面试过程为借口部署后门程序。 这些活动的后续版本已经扩展到其他求职平台，如Upwork、Freelancer.com、We Work Remotely、Moonlight和Crypto Jobs List。正如之前所强调的，这些招聘挑战通常涉及修复漏洞或为加密货币相关项目添加新功能。 除了编码测试，这些虚假项目还伪装成加密货币项目、具有区块链功能的游戏以及具有加密货币功能的赌博应用程序。恶意代码通常以单行代码的形式嵌入到良性组件中。 “此外，他们被指示构建并执行项目以进行测试，这就是初始入侵发生的地方，”安全研究员马特耶·哈夫拉内克（Matěj Havránek）表示。“使用的代码库通常是私有的，因此受害者首先被要求提供他们的账户ID或电子邮件地址以获得访问权限，这很可能是为了掩盖恶意活动，避免被研究人员发现。” 实现初始入侵的第二种方法是诱骗受害者安装带有恶意软件的视频会议平台，如MiroTalk或FreeConference。 虽然BeaverTail和InvisibleFerret都具有信息窃取功能，但前者作为后者的下载器。BeaverTail还有两种变体：一种是可嵌入特洛伊木马项目的JavaScript变体，另一种是使用Qt平台构建的本地版本，伪装成会议软件。 InvisibleFerret是一种模块化的Python恶意软件，它检索并执行三个额外的组件： pay：收集信息并充当后门，能够接受攻击者控制服务器的远程命令，记录键盘输入、捕获剪贴板内容、运行shell命令、从挂载的驱动器中窃取文件和数据，以及安装AnyDesk和浏览器模块，并从浏览器扩展和密码管理器中收集信息； bow：负责窃取存储在基于Chromium的浏览器（如Chrome、Brave、Opera、Yandex和Edge）中的登录数据、自动填充数据和支付信息； adc：通过安装AnyDesk远程桌面软件作为持久化机制。 ESET表示，该活动的主要目标是全球范围内从事加密货币和去中心化金融项目的软件开发者，其中芬兰、印度、意大利、巴基斯坦、西班牙、南非、俄罗斯、乌克兰和美国报告了大量目标。 “攻击者不区分地理位置，旨在尽可能多地入侵受害者，以增加成功提取资金和信息的可能性。” 这也在运营商采用的明显较差的编码实践中得到体现，从未能删除开发注释到用于开发和测试的本地IP地址，表明该入侵组织并不关心隐蔽性。 值得注意的是，利用工作面试诱饵是朝鲜各种黑客组织采用的经典策略，其中最突出的是一个长期活动，被称为“梦幻工作”（Operation Dream Job）。 此外，有证据表明，这些威胁行为者还参与了欺诈性的IT工作者计划，朝鲜国民在该计划中以虚假身份申请海外工作，以获取定期薪水，从而为政权的优先事项提供资金。 “‘欺骗性开发’集群是朝鲜相关行为者采用的众多赚钱计划之一，并符合从传统货币转向加密货币的持续趋势，”ESET表示。 “在我们的研究过程中，我们观察到它从原始的工具和技术发展到更高级、更有能力的恶意软件，以及更成熟的技巧来吸引受害者并部署恶意软件。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet FortiGuard Labs 报告称，一种新的 Snake Keylogger 恶意软件变种正在活跃攻击中国、土耳其、印度尼西亚和西班牙的 Windows 用户。该变种自今年年初以来已导致全球超过 2.8 亿次感染尝试被阻止。 “Snake Keylogger 通常通过包含恶意附件或链接的网络钓鱼邮件传播，旨在通过记录键盘输入、捕获凭据和监控剪贴板来从流行的网络浏览器（如 Chrome、Edge 和 Firefox）中窃取敏感信息，”安全研究员 Kevin Su 表示。 该恶意软件的其他功能使其能够使用简单邮件传输协议（SMTP）和 Telegram 机器人将窃取的信息 exfiltrate 到攻击者控制的服务器，从而使威胁行为者能够访问窃取的凭据和其他敏感数据。 最新攻击的显著特点是利用 AutoIt 脚本语言来传递和执行主要负载。换句话说，包含恶意软件的可执行文件是一个 AutoIt 编译的二进制文件，从而使其能够绕过传统的检测机制。 “使用 AutoIt 不仅通过将负载嵌入编译后的脚本中使静态分析复杂化，还启用了模仿良性自动化工具的动态行为，”Su 补充道。 一旦启动，Snake Keylogger 会将自身的一个副本投放到 “%Local_AppData%\supergroup” 文件夹中的 “ageless.exe” 文件中。它还会在 Windows 启动文件夹中投放另一个名为 “ageless.vbs” 的文件，以便每次系统重启时，Visual Basic Script (VBS) 会自动启动恶意软件。 通过这种持久化机制，Snake Keylogger 能够在相关进程被终止后仍然保持对受感染系统的访问并继续其恶意活动。 攻击链的最后一步是将主要负载注入到合法的 .NET 进程（如 “regsvcs.exe”）中，使用一种称为进程空洞的技术，使恶意软件能够在受信任的进程中隐藏自身并绕过检测。 Snake Keylogger 还被发现记录键盘输入，并使用诸如 checkip.dyndns[.]org 之类的网站来检索受害者的 IP 地址和地理位置信息。 “为了捕获键盘输入，它利用 SetWindowsHookEx API，将第一个参数设置为 WH_KEYBOARD_LL（标志 13），这是一个低级别的键盘钩子，用于监控键盘输入，”Su 表示。“这种技术使恶意软件能够记录敏感输入，如银行凭据。” 与此同时，CloudSEK 详细描述了一项活动，该活动利用与教育机构相关的被攻陷基础设施来分发伪装成 PDF 文档的恶意 LNK 文件，最终部署 Lumma Stealer 恶意软件。 该活动 targeting 金融、医疗保健、技术和媒体等行业，是一个多阶段攻击序列，导致密码、浏览器数据和加密货币钱包被盗。 “该活动的主要感染向量是使用恶意 LNK（快捷方式）文件，这些文件被设计成看起来像合法的 PDF 文档，”安全研究员 Mayank Sahariya 表示，并补充说这些文件托管在一个 WebDAV 服务器上，不知情的访问者在访问网站后会被重定向到该服务器。 LNK 文件本身会执行一个 PowerShell 命令，连接到远程服务器并检索下一阶段恶意软件，一个经过混淆的 JavaScript 代码，其中包含另一个 PowerShell，从同一服务器下载 Lumma Stealer 并执行它。 最近几周，还观察到通过混淆的 JavaScript 文件分发 stealer 恶意软件，以从受感染的 Windows 系统中收集广泛的敏感数据，并将其 exfiltrate 到由攻击者操作的 Telegram 机器人。 “攻击从一个混淆的 JavaScript 文件开始，该文件从开源服务获取编码字符串以执行 PowerShell 脚本，”Cyfirma 表示。 “该脚本随后从 IP 地址和 URL 缩短器下载 JPG 图像和文本文件，两者都使用隐写技术嵌入了恶意 MZ DOS 可执行文件。一旦执行，这些负载会部署 stealer 恶意软件。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员警告称，一种新的恶意软件活动利用网络注入来传播一种名为 FrigidStealer 的新型苹果 macOS 恶意软件。 这一活动被归因于一个此前未被记录的威胁行为者 TA2727，该行为者还与针对 Windows（Lumma Stealer 或 DeerStealer）和 Android（Marcher）平台的信息窃取器有关。 TA2727 是一个“使用假更新主题诱饵来分发各种恶意软件载荷的威胁行为者”，Proofpoint 威胁研究团队在一份报告中表示。 TA2727 是新近识别的威胁活动集群之一，与 TA2726 一起，后者被认为是一个恶意流量分发系统（TDS）运营商，为其他威胁行为者分发流量以传播恶意软件。这个以经济利益为动机的威胁行为者自 2022 年 9 月以来一直活跃。 TA2726 据称是 TA2727 和另一个名为 TA569 的威胁行为者的 TDS，后者负责分发一种基于 JavaScript 的加载器恶意软件 SocGholish（也称为 FakeUpdates），该软件通常在合法但已被攻陷的网站上伪装成浏览器更新。 “TA2726 以经济利益为动机，与其他以经济利益为动机的行为者如 TA569 和 TA2727 合作，”该公司指出。“也就是说，这个行为者很可能负责导致其他威胁行为者操作注入的网络服务器或网站攻陷。” TA569 和 TA2727 有一些相似之处，它们都通过恶意 JavaScript 网站注入来传播，这些注入模仿了 Google Chrome 或 Microsoft Edge 等网络浏览器的更新。TA2727 的不同之处在于使用了针对不同地理区域或设备提供不同载荷的攻击链。 如果用户在法国或英国的 Windows 计算机上访问受感染网站，他们会收到下载 MSI 安装程序文件的提示，该文件会启动 Hijack Loader（也称为 DOILoader），进而加载 Lumma Stealer。 另一方面，从 Android 设备访问相同的假更新重定向时，会导致部署一种名为 Marcher 的银行木马，该木马在野外已被检测到超过十年。 假浏览器更新 不仅如此，从 2025 年 1 月开始，该活动已更新，开始针对北美以外的 macOS 用户，将他们重定向到一个假更新页面，下载一种名为 FrigidStealer 的新型信息窃取器。 FrigidStealer 安装程序与其他 macOS 恶意软件一样，需要用户明确启动未签名应用以绕过 Gatekeeper 保护，之后会运行嵌入的 Mach-O 可执行文件来安装恶意软件。 “该可执行文件是用 Go 编写的，并进行了临时签名，”Proofpoint 表示。“该可执行文件是使用 WailsIO 项目构建的，该项目在用户的浏览器中呈现内容。这增加了对受害者的社会工程，暗示 Chrome 或 Safari 安装程序是合法的。” FrigidStealer 与其他针对 macOS 系统的窃取器家族并无二致。它利用 AppleScript 提示用户输入系统密码，从而获得提升的权限，以窃取来自网络浏览器、Apple Notes 和加密货币相关应用的文件和各种敏感信息。 “行为者正在利用网络攻陷来传播针对企业和消费者用户 的恶意软件，”该公司表示。“可以预见，这些网络注入将传播针对收件人的定制恶意软件，包括 Mac 用户，他们在企业环境中的数量仍然少于 Windows 用户。” 这一事件发生在 Denwp Research 的 Tonmoy Jitu 披露另一种完全不可检测的 macOS 后门 Tiny FUD 之后，该后门利用名称操作、动态链接守护进程（DYLD）注入和基于命令与控制（C2）的命令执行。 这也紧随新型信息窃取恶意软件 Astral Stealer 和 Flesh Stealer 的出现，它们旨在收集敏感信息、逃避检测并在受攻陷系统上保持持久性。 “Flesh Stealer 在检测虚拟机（VM）环境方面特别有效，”Flashpoint 在最近的一份报告中表示。“它会避免在 VM 上执行，以防止任何潜在的取证分析，展示了对安全研究实践的理解。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处：   微软威胁情报团队近日宣布，他们发现了一种新的 XCSSET 恶意软件变体，该变体在野外的有限攻击中被发现。 “这是自 2022 年以来已知的首个 XCSSET 变体，具有增强的混淆方法、更新的持久性机制和新的感染策略，”微软威胁情报团队在 X 上的一篇帖子中表示。 这些增强功能增加了该恶意软件家族之前已知的能力，例如针对数字钱包、从 Notes 应用程序收集数据以及窃取系统信息和文件。 XCSSET 是一种复杂的模块化 macOS 恶意软件，已知会通过感染 Apple Xcode 项目来攻击用户。它最初在 2020 年 8 月由趋势科技记录。 随后的恶意软件迭代被发现能够适应新的 macOS 版本以及苹果自家的 M1 芯片。2021 年年中，这家网络安全公司指出，XCSSET 已经更新，可以从各种应用程序（如 Google Chrome、Telegram、Evernote、Opera、Skype、WeChat 以及苹果自家的 Contacts 和 Notes 应用程序）中窃取数据。 Jamf 同一时间的另一份报告揭示了该恶意软件利用 CVE-2021-30713（一个 Transparency、Consent 和 Control (TCC) 框架绕过漏洞）作为零日漏洞，在不需要额外权限的情况下截取受害者桌面的屏幕截图。 一年多后，它再次更新，增加了对 macOS Monterey 的支持。截至目前，该恶意软件的起源仍未知。 微软的最新发现标志着自 2022 年以来的首次重大修订，采用了改进的混淆方法和持久性机制，旨在挑战分析工作，并确保每次启动新的 shell 会话时恶意软件都会被启动。 XCSSET 建立持久性的另一种新方法是从未知的命令和控制服务器下载签名的 dockutil 实用程序，以管理 dock 项目。 “恶意软件随后创建一个假的 Launchpad 应用程序，并将合法 Launchpad 在 dock 中的路径条目替换为这个假的条目，”微软表示，“这确保了每次从 dock 启动 Launchpad 时，合法的 Launchpad 和恶意负载都会被执行。”   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文