江蘇
關鍵詞
木馬
代號REF1695的牟利運營自2023年11月起利用虛假安裝程序部署遠控木馬（RAT）和加密貨幣挖礦程序。Elastic Security Labs研究人員本周分析指出，除挖礦外，威脅行為體還通過CPA欺詐獲利，以軟件注冊為幌子誘導受害者訪問內容鎖定頁面。
近期攻擊迭代還投遞了此前未記錄的.NET植入程序CNB Bot。攻擊利用ISO文件作為感染媒介，投遞受.NET Reactor保護的加載器及文本文件，明確指示用戶點擊”更多信息”和”仍要運行”以繞過Microsoft Defender SmartScreen對未識別應用的防護。
該加載器調用PowerShell配置廣泛的Microsoft Defender殺毒排除項以規避檢測，并在后臺啟動CNB Bot。同時向用戶顯示錯誤信息：”無法啟動應用。您的系統可能不符合所需規格。請聯系支持?！?/p>
CNB Bot作為加載器，具備下載執行額外載荷、自我更新、卸載及清理痕跡的功能，通過HTTP POST請求與C2服務器通信。
威脅行為體的其他活動利用類似ISO誘餌部署PureRAT、PureMiner及定制.NET版XMRig加載器，后者連接硬編碼URL提取挖礦配置并啟動挖礦載荷。
與近期FAUX#ELEVATE活動類似，合法簽名但存在漏洞的Windows內核驅動”WinRing0x64.sys”被濫用以獲取內核級硬件訪問權限，修改CPU設置提升算力。該功能于2019年12月加入XMRig挖礦程序。
Elastic還識別出另一場導致SilentCryptoMiner部署的活動。該挖礦程序除使用直接系統調用規避檢測外，還禁用Windows睡眠和休眠模式，通過計劃任務設置持久化，并使用”Winring0.sys”驅動微調CPU進行挖礦。
攻擊另一關鍵組件為看門狗進程，確保惡意構件和持久化機制在被刪除時恢復。據估計，該活動在四個追蹤錢包中累計獲取27.88 XMR（9392美元），表明運營為攻擊者帶來穩定財務回報。
“除C2基礎設施外，威脅行為體濫用GitHub作為載荷分發CDN，在兩個已識別賬戶中托管分階段二進制文件，”Elastic表示，”該技術將下載執行步驟從運營者控制的基礎設施轉移至可信平臺，降低檢測阻力。”
安全圈
網羅圈內熱點 專注網絡安全
實時資訊一手掌握！
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧！
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
