黑客滥用 FTP 服务器横幅投递新型 Windows 恶意软件

威胁行为者正在滥用FTP服务器横幅隐藏命令，以投递两个此前未记录的木马程序，分别名为E4del和PINHOLE。

MalwareHunterTeam于7月观察到这种不寻常的技术，攻击中使用快捷方式文件（.LNK）和FTP服务器横幅作为死信解析器（DDR）来获取命令。

FTP横幅是服务器在连接主机登录前向其发送的问候文本字符串。

通过在被入侵系统连接FTP服务器时的初始响应中嵌入命令，恶意软件投递器可从远程服务器接收指令。

威胁情报平台SOCRadar的研究人员在调查中发现FTP横幅被用于投递恶意命令后，扩大了搜寻范围，并确认该技术仍在被使用。

“通过利用FOFA搜索，我们确定该技术自2026年7月初以来已被武器化，且至今仍在运作，8月仍观察到新增基础设施。”

SOCRadar在分享给BleepingComputer的报告中称，观察到的攻击始于一个ZIP压缩包，触发基于LNK的感染链。研究人员指出，初始入侵可能通过钓鱼攻击实现。

感染链通过两条不同的感染路径投递名为E4del和PINHOLE的两个远程访问木马（RAT），两者均从FTP横幅中检索PowerShell脚本。

E4del是基于Node.js的RAT，打包在数字签名的Electron应用程序中，伪装成Discord。

该RAT支持通过持久化或临时shell执行命令、截取屏幕截图、通过WebSocket流式传输桌面，以及下载并执行额外载荷。

SOCRadar还提及一个名为crypto32.node的Node.js模块试图提权，但研究人员未能获取以进行分析。

PINHOLE从Pinterest图钉和SurveyMonkey调查问题中检索其C2配置，这一策略提供了灵活性和抗关停能力。

该恶意软件在主机上留下极小的痕迹，利用shellcode波动技术使载荷在内存中每次仅保留一个4KB段，并通过Early Bird APC注入将最终程序集注入到挂起的ApplicationFrameHost.exe进程中。

PINHOLE支持14种命令，包括文件枚举、上传和下载文件、命令执行、进程管理、截取屏幕截图，以及部署模块以窃取浏览器中存储的凭据。

在分析时，PINHOLE脚本仅记录了11次执行事件，表明该活动尚处于早期阶段。

虽然滥用FTP横幅投递命令是一种新颖的替代方式，但SOCRadar指出，该方法相比传统基于Web的DDR（如X、GitHub、YouTube）隐蔽性较低，因为连接到未知FTP服务器更容易引起注意。

“尽管威胁行为者通常利用X、GitHub或YouTube等合法Web服务，通过高流量、预期的网络流量来提供掩护，但FTP横幅代表了一种新颖的替代方案。”

研究人员指出，该技术用途广泛，可以“轻松”适配ClickFix社会工程学活动。

SOCRadar的报告提供了入侵指标，可帮助防御者识别恶意基础设施以及网络中的受感染主机。