Posted in威胁分析
针对使用有效数签掩护的恶意攻击分析
概述
近日瑞星威胁情报平台在日常运营中捕获到了一起使用有效数字签名进行伪装的恶意攻击，此次攻击中所使用的恶意文件在VirusTotal上的检出非常低，一度只有2家安全厂商检出。样本内部也进行了一定混淆，所使用的关键API与字符串均为解密后动态调用，且将解密C2的方法与文件名进行了绑定企图绕过沙箱分析和人工调试，最终回连C2获取后续的恶意载荷，接下来就对其进行详细分析剖析其使用的免杀方法。
Posted in威胁分析
黑灰产借《黑神话：悟空》之名传播信息窃取木马
概述
近日瑞星威胁情报平台捕获到一起伪装《黑神话：悟空》安装包传播木马的攻击事件，企图诱骗用户下载安装，运行安装包后实际会运行攻击者部署的恶意代码而非游戏安装程序。经分析相关恶意文件为LummaC2信息窃取木马。LummaC2是一款使用C++开发的信息窃取木马，自2022年8月以来，它在俄语论坛上以恶意软件即服务（MaaS）的形式运营。该恶意软件由恶意软件开发者使用Lumma化名创建，目标是加密货币钱包、浏览器双重身份验证（2FA）扩展、登录凭据以及受害者机器上的其他敏感数据，我们可以在黑客论坛中找到其发布的广告。
Posted in威胁分析
2024年7月：Patchwork组织针对我国科研教育领域的攻击事件分析
概述
Patchwork别名摩诃草、白象、Dropping Elephant等，被普遍认为是一个来自于南亚地区的境外APT组织。该组织主要针对政府机构、军事、能源、金融、科研教育等领域进行攻击，其中以科研教育和政府机构为主。目标国家包括中国、巴基斯坦等亚洲地区国家。其最早攻击活动可以追溯到2009年11月，至今仍然活跃，该组织在近期的攻击活动中也在不断尝试新的加载方法以及多种组件的不同组合。
瑞星威胁情报平台在日常的威胁狩猎过程中再次捕获到了Patchwork组织对与我国科教领域的攻击样本，并捕获到基于Rust的新载荷，攻击者使用伪装成pdf的lnk文件作为初始载荷，执行PowerShell代码下载诱饵文档和加载器并创建计划任务实现持久化。其中加载器由Rust语言编写，负责在内存中执行Donut生成的ShellCode，最终在内存中执行该组织自制的后门BADNEWS以实现远控和信息窃取。