HackerNews 编译，转载请注明出处： 趋势科技（Trend Micro）报告称，一款新型信息窃取程序正通过由 100 多个 GitHub 代码仓库组成的网络进行分发。 这款被命名为 BoryptGrab 的恶意软件能够窃取浏览器数据、加密货币钱包数据，以及系统信息和用户文件。 此外，该窃取程序的部分变体还会释放一款名为 TunnesshClient 的后门程序，该后门通过 SSH 隧道进行命令与控制（C&C）通信。 趋势科技对 BoryptGrab 的调查显示，自 2025 年末以来，多个伪装成免费软件工具的 ZIP 压缩包已通过这些 GitHub 代码仓库分发。 所有已识别的二进制文件均包含相似的俄语注释和 URL 获取逻辑，不过并非所有 ZIP 压缩包中恶意软件的执行逻辑都完全相同。 在部分案例中，攻击者利用压缩包内的可执行文件，通过 DLL 侧载（DLL sideloading）技术实现恶意代码执行；而在另一些案例中，则通过 VBS 脚本获取启动器的可执行文件。研究人员还观测到了.NET 可执行文件、名为 HeaconLoad 的 Golang 下载器，以及其他执行路径。 BoryptGrab 是一款基于 C/C++ 编写的信息窃取程序，内置虚拟机检测和反分析校验机制，并试图以提升的权限执行。 它能够从近十余款浏览器中窃取信息，使用了来自两个 GitHub 代码仓库的 Chrome 应用绑定加密（Chrome App Bound Encryption）技术，并会下载一个 Chromium 辅助程序来收集目标浏览器中的信息。 该程序还可从桌面端加密货币钱包应用和浏览器扩展中收集数据、窃取系统信息、截取屏幕截图，以及收集特定扩展名的文件。 此外，趋势科技发现，这款窃取程序能够获取 Telegram 相关文件、浏览器密码，而在较新版本中，还能窃取 Discord 令牌。所有窃取到的信息都会被归档并发送至攻击者的命令与控制服务器。 部分已识别的变体还会部署 TunnesshClient 后门程序，而在其他案例中，该后门也可通过不同的下载器释放。 TunnesshClient 能够通过反向 SSH 隧道执行攻击者下发的命令。基于这些命令，该恶意软件可充当 SOCKS5 代理、执行 shell 命令、列出文件、搜索文件、上传和下载文件，或将整个文件夹发送至攻击者的服务器。 趋势科技指出：“BoryptGrab 攻击活动体现出一个不断演变的威胁生态系统 —— 攻击者通过诱骗性软件下载和伪造 GitHub 代码仓库针对用户发起攻击。” 该机构补充称，此次攻击行动显示出攻击者的技术设计复杂程度正不断提升。   消息来源：securityweek.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 微软近日披露了一款名为 “SesameOp” 的新型后门恶意软件细节，该后门创新性地将 OpenAI Assistants 应用程序接口（API）用作指挥与控制（C2）通信通道。 微软事件响应部门的检测与响应团队（DART）在周一发布的技术报告中指出：“该后门的威胁行为者并未依赖传统手段，而是滥用 OpenAI 作为指挥与控制通道，以此在受入侵环境中秘密通信并协调恶意活动。” 报告进一步解释：“后门的某个组件会将 OpenAI Assistants API 用作存储或中继机制，获取恶意指令后由恶意软件执行。” 这家科技巨头透露，该植入式恶意软件于 2025 年 7 月在一次复杂安全事件调查中被发现。在该事件中，不明身份的威胁行为者已在目标环境中维持持久访问长达数月，但微软未披露受影响受害者的具体信息。 深入调查显示，此次入侵活动包含一套 “复杂配置” 的内部网页木马（Web Shell），这些木马专门用于执行来自 “持久化、战略性部署” 的恶意进程所中继的指令。而这些恶意进程又借助了被恶意库篡改的微软 Visual Studio 实用程序，这种技术手段被称为 AppDomainManager 注入 —— 一种通过劫持.NET 应用加载过程来执行恶意代码的隐蔽技术，比传统的 DLL 旁加载更易实施。 SesameOp 是一款定制化后门，核心设计目标是维持持久访问权限，让威胁行为者能够秘密控制受感染设备，这表明此次攻击的核心目的是实现长期潜伏以开展间谍活动。 OpenAI Assistants API 原本旨在帮助开发者将人工智能驱动的代理直接集成到应用程序和工作流程中，但该 API 已被 OpenAI 列入弃用计划，将于 2026 年 8 月停止服务，取而代之的是全新的 Responses API，后者在灵活性、性能和功能上均有提升。 根据微软披露的攻击链，SesameOp 包含一个加载器组件（“Netapi64.dll”）和一个基于.NET 的后门程序（“OpenAIAgent.Netapi64”）。后门程序利用 OpenAI API 作为指挥与控制通道，获取加密后的恶意指令，解密后在本地执行，执行结果则以消息形式回传至 OpenAI 平台，形成完整的隐蔽通信闭环。 微软表示：“该动态链接库（DLL）通过Eazfuscator.NET进行高度混淆处理，专为隐蔽性、持久化及利用 OpenAI Assistants API 实现安全通信而设计。Netapi64.dll 会根据宿主可执行文件附带的特制.config 文件指令，通过.NET AppDomainManager 注入技术在运行时加载到宿主程序中。” 为规避安全扫描，其恶意载荷还采用了 AES 和 RSA 双重加密结合 GZIP 压缩的防护机制。 从 OpenAI 获取的助手列表中，消息描述字段支持三种指令类型： SLEEP（休眠）：使进程线程按指定时长休眠 Payload（有效载荷）：从指令字段提取消息内容，在独立线程中调用执行 Result（结果）：将处理结果以新消息形式传输至 OpenAI，同时将描述字段设为 “Result”，向威胁行为者告知载荷执行输出已就绪 目前该恶意软件的幕后操作者身份尚未明确，但这一事件凸显了威胁行为者持续滥用合法工具实施恶意活动的趋势 —— 通过伪装成正常网络流量以规避检测。微软透露已与 OpenAI 共享相关调查结果，OpenAI 已识别并禁用了疑似被攻击者使用的 API 密钥及关联账户。 针对此次威胁，微软建议企业安全团队采取多项缓解措施：严格审计防火墙日志，监控未授权的外部服务连接；在所有设备上启用篡改防护功能；将终端检测与响应（EDR）系统配置为拦截模式，主动阻止恶意行为执行。   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 与朝鲜有关联的威胁行为体 “金 Suky”（Kimsuky），已分发一款此前未被记录的后门程序，其代号为 “HttpTroy”。此次攻击很可能是针对性钓鱼攻击，目标为韩国的一名单独受害者。 披露该活动细节的 Gen Digital 公司，未透露事件发生的具体时间，但指出钓鱼邮件中包含一个 ZIP 压缩文件（文件名：“250908_A_HK이노션_SecuwaySSL VPN Manager U100S 100user_견적서.zip”）。该文件伪装成 VPN 账单，用于分发恶意软件，此恶意软件可实现文件传输、截屏以及执行任意命令的功能。 安全研究员亚历山德鲁 – 克里斯蒂安・巴尔达什（Alexandru-Cristian Bardaș）表示：“该攻击链包含三个步骤：一个小型投放程序、一个名为 MemLoad 的加载程序，以及最终的后门程序‘HttpTroy’。” ZIP 压缩包内包含一个与压缩包同名的 SCR 文件（屏幕保护程序文件）。打开该文件会触发执行链，首先运行的是一个 Go 语言（Golang）二进制文件，该文件包含三个嵌入文件，其中包括一个伪装 PDF 文档。此文档会向受害者展示，以避免引起任何怀疑。 与此同时，后台会同步启动 MemLoad 程序。该程序负责在受感染主机上建立持久化机制，具体方式是创建一个名为 “AhnlabUpdate” 的计划任务。这一命名是为了伪装成韩国网络安全公司安博士（AhnLab）的程序，进而解密并执行 DLL 格式的后门程序 “HttpTroy”。 该植入程序能让攻击者完全控制受感染系统，支持的操作包括文件上传 / 下载、截屏、以高权限执行命令、在内存中加载可执行文件、建立反向 shell、终止进程以及清除痕迹。它通过 HTTP POST 请求与命令控制（C2）服务器（域名：“load.auraria [.] org”）进行通信。 巴尔达什解释道：“HttpTroy 采用多层混淆技术，以阻碍对其的分析和检测。API 调用通过自定义哈希技术隐藏，字符串则通过异或（XOR）运算与单指令多数据（SIMD）指令相结合的方式进行混淆。值得注意的是，该后门程序不会重复使用 API 哈希值和字符串，而是在运行时通过各种算术运算和逻辑运算的组合动态重构它们，这进一步增加了静态分析的难度。” 除上述发现外，这家网络安全厂商还详细介绍了 “拉撒路集团”（Lazarus Group）的一起攻击事件。该攻击导致 “Comebacker” 恶意程序以及其 “BLINDINGCAN” 远程访问木马（又称 AIRDRY 或 ZetaNile）的升级版被部署。厂商补充称，此次攻击针对加拿大的两名受害者，且在 “攻击链中段” 被检测到。 目前尚不清楚该攻击所使用的具体初始访问途径，但基于未发现可被利用以获取立足点的已知安全漏洞，研究人员判断初始途径应为钓鱼邮件。 攻击中使用了 “Comebacker” 的两个不同变体，一个是 DLL 格式，另一个是 EXE 格式。前者通过 Windows 服务启动，后者通过 “cmd.exe” 命令行启动。无论采用何种执行方式，该恶意软件的最终目标一致：解密嵌入的有效载荷（即 BLINDINGCAN），并将其作为服务部署。 BLINDINGCAN 的设计目的是与远程 C2 服务器（域名：“tronracing [.] com”）建立连接，并等待进一步指令。这些指令支持的操作包括： 上传 / 下载文件 删除文件 修改文件属性以伪装成其他文件 递归枚举指定路径下的所有文件和子目录 收集整个文件系统中的文件相关数据 收集系统元数据 列出正在运行的进程 通过 CreateProcessW 函数运行命令行 在内存中直接执行二进制文件 通过 “cmd.exe” 执行命令 传入进程 ID 以终止特定进程 截屏 通过可用的视频捕获设备拍照 更新配置 更改当前工作目录 自行删除并清除所有恶意活动痕迹 Gen Digital 公司表示：“金 Suky（Kimsuky）和拉撒路集团（Lazarus）持续改进其工具，这表明与朝鲜（DPRK）有关联的行为体不仅在维护其攻击武器库，还在对其进行革新。这些攻击活动展现出结构完善的多阶段感染链，并利用了经过混淆处理的有效载荷和隐蔽的持久化机制。” “从攻击初始阶段到最终部署的后门程序，每个组件的设计目的都是规避检测、维持访问权限，并实现对受感染系统的全面控制。自定义加密、动态 API 解析以及基于组件对象模型（COM）的任务注册 / 服务利用等技术的应用，凸显出这些组织在技术上的持续演进和成熟。”   消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员警告称，针对WooCommerce用户的大规模钓鱼活动正在蔓延。攻击者通过伪造“关键安全补丁”警报，诱骗用户下载后门程序。 WordPress安全公司Patchstack将此次行动描述为“复杂攻击”，并指出其与2023年12月观察到的另一项活动存在关联——当时攻击者同样利用虚构的CVE漏洞入侵网站。 鉴于钓鱼邮件话术、伪造网页及恶意软件隐藏手法的高度相似性，研究人员认为最新攻击可能出自同一威胁组织，或是模仿此前攻击的新团伙。 安全研究员Chazz Wolcott表示：“攻击者声称目标网站存在（不存在的）‘未认证管理访问’漏洞，并诱导用户访问通过国际化域名同形异义字攻击（IDN homograph）伪装的虚假WooCommerce官网。”钓鱼邮件中的“下载补丁”链接会将用户重定向至域名“woocommėrce[.]com”（注意用‘ė’替代‘e’），并下载名为“authbypass-update-31297-id.zip”的恶意ZIP文件。 受害者按提示安装该“补丁”（实为恶意WordPress插件）后，将触发以下恶意行为： 创建隐藏管理员账户：通过随机命名的定时任务（每分钟运行一次），生成混淆用户名和随机密码的管理员账号； 注册受感染站点：向外部服务器“woocommerce-services[.]com/wpapi”发送HTTP GET请求，传递账号密码及网站URL； 获取第二阶段载荷：从“woocommerce-help[.]com/activate”或“woocommerce-api[.]com/activate”下载混淆处理的后续攻击载荷； 部署网页后门：解码载荷后安装P.A.S.-Fork、p0wny和WSO等网页后门； 隐藏攻击痕迹：从插件列表中删除恶意插件，并隐藏创建的管理员账户。 攻击最终使黑客获得网站远程控制权，可实施广告注入、用户重定向、组建DDoS僵尸网络，甚至加密服务器资源进行勒索。 研究人员建议用户立即扫描可疑插件和管理员账户，并确保所有软件更新至最新版本。       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文