ShellReset RAT 利用基于恶意宏的 word 文档传播
之前我们说到： *** 犯罪分子通常会将攻击点与热点相联系。近期，我们就发现有犯罪分子使用伦敦技术事件做诱饵来进行 *** 攻击。
2020年2月-5月，我们观察到在基于.space和.xyz域的新注册站点上托管了四个基于恶意宏的Microsoft Word文档。由于几个文档的最终有效负载的部署策略、技术和过程（TTP）十分类似，我们认为这是同一个攻击者的行为。
据了解，.NET有效负载的最终版以往从未被检测到过，它的代码段很小，而且与QuasarRAT相重叠，但此代码段在运行时并未使用。根据最终有效负载中的唯一字符串我们为把该RAT命名为ShellReset。由于被检测到的数量有限，我们认为这可能是是一种小范围的攻击活动，而攻击者在这个攻击过程中使用的主题也和今年在伦敦发生的热点事件有关，其中还包括5G Expo 和Futurebuild。
其中的感染链涉及一些有趣的技术，如在运行时使用受信任的Windows实用程序在终端上编译有效负载以绕过安全机制，还会从攻击者的服务器下载混淆后的源代码。本文我将对分发策略和攻击的技术进行详细分析。
…
更多内容请至Seebug Paper阅读全文：https://paper.seebug.org/1228/
消息来源：zscaler， 译者：dengdeng。
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“ShellReset RAT 利用基于恶意宏的 word 文档传播” 的相关文章
研究人员通过人工智能利用推特预测粮食短缺问题
宾夕法尼亚州立大学和卡塔尔哈马德-本-哈利法大学的研究人员表示，推特上的推文所表达的情绪和情感可以被实时用来评估大流行病、战争或自然灾害供应链中断可能导致的粮食短缺。 他们发现，在COVID-19大流行的早期，在美国某些州，表达愤怒、厌恶或恐惧的与食品安全有关的推文与实际的食品不足密切相关。研究人员...
私钥失窃：慧与证实 Aruba Networks 客户数据泄露事件
作为慧与（HPE）的一家网络设备制造子公司，Aruba Networks 于早些时候发生了数据泄露事件。这家企业技术巨头在一份声明中称，未经授权者利用一把私钥，访问了存储于 Aruba Central 云端的客户数据。尽管未详细说明黑客是如何获取到私钥的，但 HPE 确认它可被用于访问存储客户数据的...
美国联邦调查局通缉 23 岁俄罗斯黑客
Hackernews 编译，转载请注明出处： 一名23岁的俄罗斯人在美国被起诉，并被列入美国联邦调查局网络通缉名单，因为他被指控是一家网络犯罪论坛 Marketplace A的管理员，该论坛出售被盗的登录凭证、个人信息和信用卡数据。 伊戈尔 · 德赫蒂亚克(Igor Dekhty...
BlackMatter 勒索软件营运者称因地方当局压力而停业
BlackMatter勒索软件背后的犯罪集团今天宣布计划关闭其业务，理由是来自地方当局的压力。该组织在其 “勒索软件即服 “门户后台发布的一条信息中宣布了其计划，其他犯罪集团通常在这里注册，以获得BlackMatter勒索软件的使用权。 这条消息是由vx-underground信息安全小组的一名成员...
英国监管机构要求运营商关闭加密货币 ATM 机
在英国，购买比特币最简单、最匿名的方式之一是前往选定的商店，使用比特币自动取款机，你只需存入现金，然后将比特币发送到你的比特币钱包。英国金融行为监管局（FCA）现在正命令经营这些自动取款机的公司关闭它们，因为它们没有实施旨在防止洗钱的KYC措施。 要在英国运营，加密货币自动取款机应在FCA注册，并...
欧盟就德国大选前的 “Ghostwriter” 黑客行为向俄罗斯发出警告
据外媒TechCrunch报道，欧盟警告说，其可能就俄罗斯参与针对几个欧盟成员国的“恶意网络活动”采取行动。根据欧洲理事会周五的一份新闻稿，“Ghostwriter”活动针对的是“欧盟的许多议会成员、政府官员、政治家以及新闻界和民间社会的成员”，并且是通过“访问计算机系统和个人账户以及窃取数据”来进...
评论列表
发表评论
