5種更隱蔽、更危險的新型惡意軟件

為了更好地識別和預(yù)防新一代惡意軟件的攻擊威脅,幫助企業(yè)安全團隊保持對惡意軟件的信息更新和警惕,專業(yè)安全網(wǎng)站CyberTalk.org日前梳理總結(jié)了5種值得所有組織高度關(guān)注的新興惡意軟件并對其特點進行了研究分析。

640 (1).png

本文來自微信公眾號“安全牛”。

據(jù)Vade公司最新發(fā)布的《2023年第三季度網(wǎng)絡(luò)安全報告》顯示,2023年第三季度,共檢測到1.257億封包含惡意軟件的電子郵件,相比第二季度增長了110%。這是個令人不安且值得關(guān)注的趨勢。從本質(zhì)上講,目前的惡意軟件正在逐漸演變成一個復(fù)雜多變的網(wǎng)絡(luò)犯罪生態(tài)體系。為了獲取更大的攻擊收益,攻擊者正在不斷尋找新的傳播路徑和感染手段,并不斷嘗試任何可行的策略,來增強惡意軟件的攻擊能力。

為了更好地識別和預(yù)防新一代惡意軟件的攻擊威脅,幫助企業(yè)安全團隊保持對惡意軟件的信息更新和警惕,專業(yè)安全網(wǎng)站CyberTalk.org日前梳理總結(jié)了5種值得所有組織高度關(guān)注的新興惡意軟件并對其特點進行了研究分析。CyberTalk.org主編Shira Landau認為:相比傳統(tǒng)的病毒、木馬、僵尸程序等惡意軟件,這些新型惡意軟件更加隱蔽,也更加危險,代表了惡意軟件未來演進發(fā)展的重要趨勢。

01

GootBot:GootLoader惡意軟件的新變種

2023年10月,IBM X-Force安全研究團隊發(fā)現(xiàn)了GootLoader惡意軟件的一個新變種“GootBot”,能夠在受感染系統(tǒng)上進行更廣泛的橫向移動并智能化逃避安全監(jiān)測。

研究人員指出,目前觀察到的GootBot活動主要利用搜索引擎優(yōu)化(SEO)中毒策略,以合同、法律表格或其他業(yè)務(wù)相關(guān)文件為主題,將受害者引向受感染的網(wǎng)站,誘騙他們下載帶有病毒的文件,這些文件包含一個模糊處理的JavaScript文件。一旦感染后,大量的GootBot植入物會在整個企業(yè)環(huán)境中傳播。更危險的情況是,每個植入都利用不同的硬編碼C2服務(wù)器,使攻擊難以阻止。

自2014年以來,一直活躍的Gootloader組織就大量依靠搜索引擎優(yōu)化(SEO)中毒和受損WordPress網(wǎng)站的組合來傳播惡意軟件。此次發(fā)現(xiàn)的“GootBot”變種,表明了傳統(tǒng)Gootloader惡意軟件的一種戰(zhàn)術(shù)轉(zhuǎn)變,即在Gootloader感染后將植入物作為有效載荷下載,而不是使用CobaltStrike等后開發(fā)框架。同時,也凸顯了攻擊者在逃避檢測和隱蔽操作方面的巨大能力提升。

防護建議:

●對所有員工開展SEO攻擊的安全意識培訓(xùn),加強對中毒網(wǎng)頁的識別和防護;

●啟用瀏覽器的安全功能和惡意軟件防護功能,并確保操作系統(tǒng)及時進行安全更新;

●確保對網(wǎng)絡(luò)服務(wù)器和網(wǎng)絡(luò)應(yīng)用程序進行正確的配置;

●增強安全意識,從官方渠道安裝正版軟件。

02

BunnyLoader:“網(wǎng)紅”版MaaS工具

BunnyLoader是一個新發(fā)現(xiàn)的惡意軟件即服務(wù)(MaaS)工具,目前仍有大量的威脅功能還在開發(fā)完善中,主要是為了添加了新功能和錯誤修復(fù)。目前,BunnyLoader已經(jīng)可以下載和執(zhí)行有效負載、記錄密鑰、竊取敏感數(shù)據(jù)、加密貨幣以及執(zhí)行遠程攻擊命令等。

研究人員發(fā)現(xiàn),BunnyLoader是一種功能更豐富、價格更低廉的惡意軟件既服務(wù)工具,盡管有很多功能還在開發(fā),但其從上線開始就迅速受到網(wǎng)絡(luò)犯罪分子的青睞。攻擊者只需要花費250美元就可以在暗網(wǎng)上購買BunnyLoader的基本版本,而高級版本的售價也僅要350美元,后者具有更強的反分析、內(nèi)存注入、檢測逃避及額外的持久性機制。

BunnyLoader的核心特點是具有C2面板,該面板可以幫助沒有專業(yè)背景的網(wǎng)絡(luò)犯罪分子設(shè)置第二階段有效負載,并啟用鍵盤記錄、憑證收集、剪貼板監(jiān)控(用于竊取加密貨幣)等攻擊功能。

最新分析結(jié)果顯示,BunnyLoader已經(jīng)配備了持久駐留機制和反沙箱策略,以確定自身是否在沙箱或模擬環(huán)境中運行,如果是的話,它會拋出虛假的架構(gòu)不兼容錯誤來逃避分析和檢測。此外,該惡意軟件還具有截取網(wǎng)絡(luò)瀏覽器信息、加密貨幣錢包、消息應(yīng)用程序數(shù)據(jù)竊取等模塊,可以充當(dāng)標準的“信息竊取器”。

防護建議:

●定期更新操作系統(tǒng)和應(yīng)用程序補丁,并使用強密碼和管理員權(quán)限限制等措施;

●持續(xù)檢測異常網(wǎng)絡(luò)訪問行為和相關(guān)的異常指標,包括異常的代碼執(zhí)行、橫向移動等;

●使用端點防護工具,識別和阻止惡意程序的運行。

03

LionTail:既輕量又復(fù)雜的后門軟件

日前,一個名為“疤痕獅蝎”(Scarred Manticore)的惡意軟件組織被觀察到使用一種輕量級后門軟件“LionTail”,它集合了一組復(fù)雜的自定義加載程序和內(nèi)存駐留惡意有效負載。

該惡意軟件具有一個值得注意的組件,是用C語言編寫的輕量級但復(fù)雜的惡意植入物,使攻擊者能夠通過HTTP請求遠程執(zhí)行命令,并運行攻擊者發(fā)送到惡意軟件配置中指定的URL有效載荷。

這是一個與已知惡意軟件家族沒有任何關(guān)聯(lián)的新型惡意軟件,因此其使用者往往能夠輕松隱藏在合法的流量中而不被發(fā)現(xiàn)。

研究人員發(fā)現(xiàn),LionTail惡意軟件已被實際應(yīng)用于針對政府、軍事、電信和金融組織的攻擊活動中。這些目標組織重點分布在伊拉克、以色列、約旦、科威特等海灣國家和地區(qū)組織中。使用它的惡意組織主要從事數(shù)據(jù)竊取、秘密訪問和其他間諜性活動。

防護建議:

●安裝反間諜軟件防護工具,并有效開啟反間諜軟件相關(guān)功能;

●始終使用防火墻,對下載的文件進行安全性檢查;

●定期開展反病毒軟件掃描,發(fā)現(xiàn)和清除已感染的間諜軟件;

●實施完善的訪問控制措施,限制對敏感系統(tǒng)和數(shù)據(jù)的訪問。

04

SecuriDropper:針對Android設(shè)備的木馬軟件服務(wù)

這是一種能夠感染移動Android設(shè)備的木馬軟件即服務(wù)(Dropper-as-a-service,DaaS),能夠通過偽裝成合法的應(yīng)用程序來感染移動Android設(shè)備。在大多數(shù)情況下,SecuriDropper會偽裝成谷歌應(yīng)用程序、Android更新、視頻播放器、游戲甚至安全應(yīng)用程序。一旦被下載后,該木馬程序就會安裝一個有效負載,實際上是某種形式的惡意軟件。它通過確保對“讀寫外部存儲”和“安裝和刪除包”權(quán)限的訪問來做到這一點。

第二階段的有效載荷是通過用戶欺騙和界面操縱來安裝的,因為用戶在看到關(guān)于應(yīng)用程序安裝的虛假錯誤信息后,會被提示點擊“重新安裝”按鈕。研究人員已經(jīng)觀察到通過SecuriDropper分發(fā)的SpyNote惡意軟件。此外,SecuriDropper還被發(fā)現(xiàn)分發(fā)偽裝成Chrome瀏覽器的銀行Ermac木馬,以及瞄準數(shù)百種加密貨幣和電子銀行的惡意木馬應(yīng)用。

防護建議:

確保應(yīng)用程序來源可信,并仔細審查軟件的權(quán)限和行為;

●監(jiān)控和分析異常網(wǎng)絡(luò)應(yīng)用和訪問行為;

●部署完善的安全防護體系,包括入侵防護系統(tǒng)、反惡意軟件工具、防火墻和其他安全軟件。

05

Jupyter infostealer:能夠逃避檢測的賬號竊取工具

Jupyter infostealer是一種幫助攻擊者竊取賬號憑據(jù)并非法訪問數(shù)據(jù)的新型惡意軟件,主要針對教育、醫(yī)療和政府等行業(yè)的組織。盡管從技術(shù)上講,這種惡意軟件的早期版本自2020年以來就已經(jīng)存在,但新的變體一直在不斷更新,以逃避檢測,并增加了很多令人不安的新功能。

在最近的攻擊事件監(jiān)測中,研究人員發(fā)現(xiàn),新版本的Jupyter infostealer工具能夠針對Chrome、Edge和Firefox瀏覽器,利用SEO中毒和搜索引擎重定向來傳播。在最新的攻擊案例中,Jupyter infostealer能夠利用PowerShell命令來修改和簽名私鑰,并將惡意軟件冒充為合法簽名的文件來逃避審查,甚至已經(jīng)能夠訪問受害者的設(shè)備。

Jupyter infostealer的感染主要是通過惡意網(wǎng)站、非法下載和網(wǎng)絡(luò)釣魚郵件發(fā)生的。在一份美國政府最新發(fā)布的2024年預(yù)算在線副本中,研究人員發(fā)現(xiàn)已被感染Jupyter infostealer軟件。

防護建議:

●安裝防病毒軟件、防火墻及其他安全軟件;

●使用應(yīng)用白名單,只允許獲得許可的應(yīng)用程序在設(shè)備上運行;

●定期更新軟件,及時修復(fù)已知的漏洞;

●開展用戶培訓(xùn)和教育,增強安全意識;

●實施網(wǎng)絡(luò)分段,將敏感信息和應(yīng)用與其他網(wǎng)絡(luò)應(yīng)用隔離開來;

●部署最新的入侵檢測系統(tǒng),及時識別惡意活動的跡象。

THEEND

最新評論(評論僅代表用戶觀點)

更多
暫無評論