当前位置：首页 > 网站入侵 > 正文内容

ShellReset RAT 利用基于恶意宏的 word 文档传播

访客56年前 (1970-01-01)网站入侵443

之前我们说到： *** 犯罪分子通常会将攻击点与热点相联系。近期，我们就发现有犯罪分子使用伦敦技术事件做诱饵来进行 *** 攻击。

2020年2月-5月，我们观察到在基于.space和.xyz域的新注册站点上托管了四个基于恶意宏的Microsoft Word文档。由于几个文档的最终有效负载的部署策略、技术和过程（TTP）十分类似，我们认为这是同一个攻击者的行为。

据了解，.NET有效负载的最终版以往从未被检测到过，它的代码段很小，而且与QuasarRAT相重叠，但此代码段在运行时并未使用。根据最终有效负载中的唯一字符串我们为把该RAT命名为ShellReset。由于被检测到的数量有限，我们认为这可能是是一种小范围的攻击活动，而攻击者在这个攻击过程中使用的主题也和今年在伦敦发生的热点事件有关，其中还包括5G Expo 和Futurebuild。

其中的感染链涉及一些有趣的技术，如在运行时使用受信任的Windows实用程序在终端上编译有效负载以绕过安全机制，还会从攻击者的服务器下载混淆后的源代码。本文我将对分发策略和攻击的技术进行详细分析。

…

更多内容请至Seebug Paper阅读全文：https://paper.seebug.org/1228/

消息来源：zscaler，译者：dengdeng。
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接

扫描二维码推送至手机访问。

本文链接：https://www.w-123.com/32930.html

标签: HackerNews 黑客安全互联网国际威胁情报维基解密

返回列表

没有更早的文章了...

下一篇：如何找回qq密码（手机号也停用了）

“ShellReset RAT 利用基于恶意宏的 word 文档传播” 的相关文章

乌克兰安全局宣称逮捕了协助俄军开展通讯中继服务的黑客

Vice 报道称，在最近一次行动中，乌克兰安全局（SBU）声称抓获了一名在乌境内为俄军提供通信服务的黑客。在当天上午 10 点发布的推文和电报消息中，SBU 分享了本次行动的诸多细节。尽管尚未得到另一独立消息源的证实，但我们已经看到了面部打码的黑客、以及所谓的通信系统照片。电报帖子指出，黑客...

去年恶意勒索资金中有 74% 流向了俄罗斯有关黑客手中

一项新研究表明，2021 年通过勒索软件攻击方式牟取的所有资金中有 74% 流向了俄罗斯有关的黑客手中。研究人员说，价值超过 4 亿美元的加密货币支付给了“极有可能与俄罗斯有关联”的团体。研究人员还称，大量基于加密货币的洗钱活动是通过俄罗斯加密公司进行。这项研究是由 Chainalysi...

Microsoft Defender 又一次误将 Google Chrome 更新视作可疑活动

近日，我们在 Twitter 和 Reddit 等平台上见到了不少系统管理员报告，可知问题主要集中在被 Microsoft Defender for Endpoint 安全防护软件标记为“可疑”的 Google Chrome 更新上。由于谷歌更新服务（GoogleUpdate.exe）没有给“goo...