freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

使用Rust重写的Buer恶意软件
2021-05-04 19:52:57

近日研究人员发现Buer恶意软件的一个变种伪装成DHL邮寄通知的形式进行分发传播,该恶意软件使用Rust语言进行了重写。

Profpoint的研究人员表示,高效且易用的Rust语言帮助恶意软件顺利逃避检测。一共发现了两种恶意软件,一种是使用C语言编写的,另一种是使用Rust语言编写的,这可以帮助恶意软件在被发现前感染更多的受害者。

Buer是一种Downloader,作为其他恶意软件的“引路人”。根据Proofpoint的研究,最近两年的Downloader变得越来越强大,拥有的功能和配置方式也越来越先进

Proofpoint在2019年首次发现Buer,最近又发现了以DHL邮寄通知为主题的新变种。

受害者点击了恶意附件(Word/Excel)后就会触发由Rust编写的Buer变种。研究人员将其命名为RustyBuer,根据Proofpoint的研究表明,该恶意软件已经在50多个行业中感染了超过200个组织

作为Downloader,研究人员发现后续可能会投放Cobalt Strike。而有些时候,后续阶段的载荷并不存在。可能是因为恶意软件的开发者正在测试新的变种,以将其租赁给其他的攻击者。

多语言恶意软件

使用Rust重写的恶意软件与传统上用C语言来编写恶意软件的习惯并不相同,尚不清楚为什么攻击者花费如此多的精力来重写。研究人员猜测可能是因为Rust的效率更高,而且支持的功能也越来越多了。

Proofpoint的威胁研究与检测高级主管Sherrod DeGrippo认为,恶意软件的功能修改很常见,但是选择完全用另一种语言重写的非常少见。通常来说,恶意软件都会通过版本迭代增加新的功能或者提升检测逃避的能力,像这种完全切换到新语言是一个新方式。

重写还会带来另一个好处就是对逆向工程带来了巨大的挑战,没有Rust开发经验的工程师难以进行分析。Proofpoint的研究人员认为将会看到不断更新的Rust版本的Buer。与过去一样,攻击者将会利用能利用的一切资源发展恶意软件。

Rust的应用

Rust在业界越来越流行,微软在2月份加入了Rust基金会,在微软内部也越来越多地使用Rust语言。2019年,Python软件基金会和Django软件基金会的前董事Alex Gaynor表示:C与C++这样的内存不安全语言引入了非常多的安全漏洞,整个行业需要迁移到诸如Rust和Swift等内存安全的语言上来

Buer的运营者一定是在以多种方式发展攻击技术,提高检测逃避能力,提高攻击成功率。Proofpoint表示,使用Rust重写的恶意软件可以让恶意软件逃避那些基于C编写的恶意软件检测特征。

为了与C版本的恶意软件兼容,Rust重写的恶意软件与C&C服务器的通信方式仍然未变。

不要点击

攻击者在文档中使用了一些安全公司的图标,以显示该文档是安全的,引诱用户打开。

恶意文档通过LOLBAS的Windows Shell DLL执行,逃避端点安全的检测。

参考来源

Proofpoint

ThreatPOST

# 恶意软件 # Rust
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录