freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

图片也带”毒“了? 黑客使用新技术推送 Remcos RAT
2024-02-27 13:33:37
所属地 上海

近期,网络安全研究人员发现,名为 "UAC-0184 "的黑客组织利用隐写图像文件传播 Remcos 远程访问木马(RAT),受害者是一个在芬兰境内运营的乌克兰实体组织。1709011945_65dd73e9c6e9122f44662.png!small?1709011949130

2023 年末,UAC-0184 威胁组织被趋势科技的研究人员首次观察到 ,主要针对乌克兰武装部队发起网络攻击。 2024 年 1 月初,Morphisec 分析师发现芬兰境内运营的一家乌克兰企业成为了该组织的受害者,这就表明该组织已将目标扩展到乌克兰境外与其战略目标有关联的组织了。

出于保密需求,Morphisec 暂时不能提供有关受害者的详细信息和其它具体攻击细节。

利用图片加载恶意软件

“隐写术”是一种有据可查但很少见的网络攻击策略,威胁攻击者通过将恶意代码编码到图像的像素数据中,从而躲避基于签名规则的解决方案的检测。

通常情况下,图像像素中的小块有效载荷不会导致图像外观出现很明显的改变,但在 Morphisec 观察分析的案例中,图像看起来有明显失真了,这种失真现象很难被直观察觉,只有在人工检查仔细情况下才会有所发现,一旦没有人工检查,就可以轻松躲避自动安全产品的检测。

1709011966_65dd73feb85a25ea6603d.png!small?1709011968673包含嵌入代码的恶意 PNG 图像(Morphisec)

Morphisec 观察到的网络攻击链始于一封精心制作的网络钓鱼电子邮件,该电子邮件来自乌克兰第三突击分队或以色列国防军,上当的受害者一旦打开快捷方式文件附件后,就会立刻触发感染链,启动一个可执行文件(DockerSystem_Gzv3.exe),进而激活一个名为'IDAT'的模块化恶意软件加载器。

IDAT 采用了动态加载 Windows API 函数、HTTP 连接测试、进程阻止列表和系统调用等复杂的技术,来逃避安全检测。为了保持网络攻击的隐蔽性,API 调用不会以明文形式写入代码中,是在运行时使用作为攻击链一部分的解密密钥进行解析。

此外,IDAT 还采用了代码注入和执行模块等独特技术,使其与传统的加载程序不同。IDAT 提取嵌入恶意PNG 图像文件中的编码有效载荷,然后在内存中对其进行解密和执行,最后解密和执行 Remcos RAT。(这是一种商品恶意软件,黑客将其用作被入侵系统的后门,允许隐秘地窃取数据和监控受害者的活动)

1709011994_65dd741ad74c1e43f50ba.png!small?1709011997272

UAC-0184 攻击概述(Morphisec)

最后,Morphisec 强调,IDAT 还能够提供 Danabot、SystemBC 和 RedLine Stealer 等恶意软件,但目前还不清楚这些恶意软件是否出现在了受害者的内部系统中。

参考文章:

https://www.bleepingcomputer.com/news/security/new-idat-loader-version-uses-steganography-to-push-remcos-rat/


本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录