QakBot 相关 BC 恶意软件新增强化远程访问与数据收集功能
HackerNews 编译，转载请注明出处： 网络安全研究人员披露了一款新BackConnect（BC）恶意软件的详细信息，该软件由与臭名昭著的QakBot加载程序相关的威胁行为者开发。 沃尔玛网络情报团队向The Hacker News表示：“BackConnect是威胁行为者用来保持持久性和执行任务的一种常见功能或模块。正在使用的BackConnect包括‘DarkVNC’和IcedID的BackConnect（KeyHole）。” 该公司指出，BC模块是在同一基础设施上发现的，该基础设施还用于分发另一种名为ZLoader的恶意软件加载程序，该程序最近已更新，纳入了域名系统（DNS）隧道，用于命令与控制（C2）通信。 QakBot（又称QBot和Pinkslipbot）在2023年遭受重大运营挫折，其基础设施在一项名为“Duck Hunt”的协调执法行动中被查封。自那以后，不断有传播该恶意软件的零星活动被发现。 QakBot最初被设计为银行木马，后来被改造为加载程序，能够在目标系统上交付下一阶段的有效载荷，如勒索软件。QakBot和IcedID的一个显著特点是其BC模块，该模块使威胁行为者能够将主机用作代理，并通过嵌入的VNC组件提供远程访问通道。 沃尔玛的分析显示，BC模块除了包含对旧版QakBot样本的引用外，还得到了进一步增强和开发，用于收集系统信息，在某种程度上充当自主程序，以便利后续利用。 沃尔玛表示：“我们所说的这款恶意软件是一个独立的后门程序，利用BackConnect作为媒介，允许威胁行为者获得键盘访问权限。这款后门程序收集系统信息的特点进一步凸显了这一区别。” Sophos也对BC恶意软件进行了独立分析，将该软件的痕迹归因于其追踪的威胁集群STAC5777，该集群与Storm-1811重叠，Storm-1811是一个以假扮技术支持人员滥用Quick Assist部署Black Basta勒索软件而臭名昭著的网络犯罪集团。 这家英国网络安全公司指出，STAC5777和STAC5143（一个可能与FIN7有联系的威胁集团）都利用电子邮件轰炸和Microsoft Teams钓鱼攻击潜在目标，诱骗他们通过Quick Assist或Teams内置的屏幕共享功能授予攻击者远程访问其计算机的权限，以安装Python后门和Black Basta勒索软件。 Sophos表示：“这两个威胁行为者都在自己的攻击中运营Microsoft Office 365服务租户，并利用Microsoft Teams的默认配置，该配置允许外部域的用户与内部用户发起聊天或会议。” 沃尔玛表示，鉴于Black Basta运营商之前曾依赖QakBot部署勒索软件，而新款BC模块的出现，再加上Black Basta近几个月也分发了ZLoader的事实，这表明了一个高度互联的网络犯罪生态系统，其中QakBot背后的开发者很可能正在为Black Basta团队提供新工具。 消息来源：The Hacker News, 编译：zhongx； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
研究人员发现了 Qakbot 恶意软件逃避检测的新尝试
Hackernews 编译，转载请注明出处： Qakbot恶意软件背后的黑客正在改变他们的传输载体，试图避开检测。 Zscaler Threatlabz的研究人员Tarun Dewan和Aditya Sharma说：“最近，黑客改变了他们的技术，通过使用ZIP文件扩展名、常见格式的文件名和Excel (XLM) 4.0欺骗受害者下载安装Qakbot的恶意附件来逃避检测。” 该组织采用的其他方法包括代码混淆、在攻击链中引入从初始泄露到执行的新层，以及使用多个URL和未知文件扩展名（例如 .OCX, .ooccxx, .dat, 或.gyp）来交付有效负载。 Qakbot也被称为QBot，QuackBot或Pinkslipbot，自2007年底以来一直是反复出现的威胁，从最初的银行木马发展到能够部署勒索软件等下一阶段有效载荷的模块化信息窃取者。 这款恶意软件从2022年初的XLM宏转向5月份的.LNK文件，这被视为试图反击Microsoft在2022年4月默认阻止Office宏的计划，该公司后来暂时收回了这一决定。 此外，进一步的修改还包括使用PowerShell下载DLL恶意软件，以及从regsvr32.exe切换到rundlll32.exe来加载有效载荷，研究人员称这是“Qakbot进化以逃避更新的安全实践和防御的明显迹象”。 消息来源：TheHackerNews，译者：Shirley； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc ” 并附上原文
银行恶意软件 QakBot 导致大量 Active Directory 域被锁定
据外媒 6 月 4 日报道，IBM 安全专家于近期发现成百上千的客户Active Directory 域在受到银行恶意软件 QakBot 攻击后被锁定。 Active Directory（ 活动目录 ）是面向 Windows Standard Server、Windows Enterprise Server 以及 Windows Datacenter Server 的目录服务。活动目录服务是 Windows Server 2000 操作系统平台的中心组件之一。（百度百科） 恶意软件 QakBot 是一种主要通过共享驱动器或移动设备实现自我复制的网络蠕虫。该恶意软件主要针对企业银行账号窃取用户资金与私人数据，例如：数字证书、缓存凭证、HTTP（S）会话认证数据、Cookie、身份验证令牌以及 FTP 、POP3 登录凭证等。近期，QakBot 被发现针对美国政府机构、银行开展攻击活动，其中包括美国国家财政部、企业银行与商业银行。 调查显示，恶意软件 QakBot 除了使用了特殊的检测机制规避沙箱外，还利用了 dropper 执行 explorer.exe 并在进程中自动注入 QakBot 动态链接库（DLL），以破坏其原始文件传播恶意软件。 安全专家表示，银行恶意软件 QakBot 为了在目标网络中进行传播，还能使用 C＆C 服务器的特定命令实现随需应变。此外，QakBot 还能利用“浏览器中间者”(Man-in-the-Browser，MitB)攻击，将恶意代码注入在线银行会话中，以便通过被控制的域名获取脚本。 原作者：Pierluigi Paganini，译者：青楚 本文由 HackerNews.cc 翻译整理，封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。