新型 “BlackSanta” EDR 杀手现身，以人力资源部门为攻击目标

作者: hackernews 日期: 2026-03-11 分类: 恶意软件

给文章评分：

HackerNews 编译，转载请注明出处：

超过一年以来，一名讲俄语的威胁行为者以人力资源（HR）部门为目标，通过恶意软件投放一款名为 BlackSanta 的新型 EDR 杀手。

该攻击活动被描述为 “高度复杂”，结合了社会工程学与高级规避技术，从受攻陷系统中窃取敏感信息。

目前尚不清楚攻击的初始入口，但网络与安全解决方案提供商 Aryaka 的研究人员怀疑，该恶意软件通过鱼叉式钓鱼邮件进行分发。

他们认为，目标被引导下载托管在云存储服务（如 Dropbox）上、伪装成简历的 ISO 镜像文件。

分析的其中一个恶意 ISO 包含四个文件：一个伪装成 PDF 文件的 Windows 快捷方式（.LNK）、一个 PowerShell 脚本、一张图片和一个 .ICO 文件。

该快捷方式启动 PowerShell 并执行脚本，脚本利用隐写术提取隐藏在图片文件中的数据，并在系统内存中执行。

该代码还会下载一个 ZIP 压缩包，其中包含一个合法的 SumatraPDF 可执行文件和一个恶意 DLL（DWrite.dll），以利用 DLL 侧载技术加载。

该恶意软件执行系统指纹采集，并将信息发送至命令与控制（C2）服务器，随后执行大量环境检查，若检测到沙箱、虚拟机或调试工具则停止执行。

它还会修改 Windows Defender 设置以削弱主机安全防护，执行磁盘写入测试，然后从 C2 服务器下载更多载荷，通过进程空心化技术在合法进程内执行。

该攻击活动投放的一个关键组件是被识别为 BlackSanta EDR 杀手的可执行文件，这是一个在部署恶意载荷前使终端安全解决方案失效的模块。

BlackSanta 为 .dls 和 .sys 文件添加微软 Defender 排除项，并修改注册表值以减少遥测数据和向微软安全云端点的自动样本提交。

研究人员的报告（PDF）指出，BlackSanta 还可屏蔽 Windows 通知，以最小化或完全屏蔽用户警报。BlackSanta 的核心功能是终止安全进程，实现方式如下：

· 枚举正在运行的进程

· 将进程名与内置的大量杀毒软件、EDR、SIEM 和取证工具列表进行比对

· 获取匹配的进程 ID

· 使用已加载的驱动在内核层面解锁并终止这些进程

Aryaka 没有披露此次活动背后的目标组织或威胁行为者相关细节，且未能获取观察案例中使用的最终载荷，因为在其检查时 C2 服务器已无法访问。

研究人员成功识别出同一威胁行为者使用的其他基础设施，并发现了与同一攻击活动相关的多个 IP 地址。他们正是通过这种方式得知，该行动在过去一年中一直在未被察觉的情况下运行。

通过对这些 IP 地址的分析，研究人员发现该恶意软件还会下载 “自带驱动”（BYOD）组件，其中包括 Adlice Software 公司的 RogueKiller 反 Rootkit 驱动 v3.1.0，以及 IObit 公司的 IObitUnlocker.sys v1.2.0.1。

这些驱动已被用于恶意软件行动中，以在受攻陷机器上获得提升权限并压制安全工具。

RogueKiller（truesight.sys）允许操纵内核钩子和内存监控，而 IObitUnlocker.sys 允许绕过文件和进程锁定。这种组合为恶意软件提供了对系统内存和进程的底层访问权限。

Aryaka 研究人员表示，此次活动背后的威胁行为者展现出强大的作战安全能力，并使用上下文感知、隐蔽的感染链部署 BlackSanta EDR 等组件。

消息来源：bleepingcomputer.com；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文