Posted in威胁分析
FormBook钓鱼攻击事件分析
概述
2023年7月末客户反馈收到可疑邮件，经确认最终执行的是FormBook 4.1版本窃密木马，FormBook是一款非常活跃的商业窃密木马，经常通过广撒网式投递钓鱼邮件，其主要由C#编写的加载器和C或汇编语言编写的核心PE程序组成，加载器采用套娃模式执行PE程序，PE程序无任何直接的API调用，无法静态分析，其代码包含各种反调试、反沙箱操作，对抗分析强度极大。
Posted in威胁分析
RoadSweep 2.0勒索软件分析
概述
2022年7月17日。阿尔巴尼亚新闻媒体报告了两起起具有针对性的大规模网络攻击，该攻击于此前另一版针对于阿尔巴尼亚的勒索攻击类型相同，极有可能是相同攻击者。威胁行为者同样使用了英伟达(Nvidia)和科威特电信公司(Kuwait Telecommunications Company)的有效证书来签署他们的恶意软件，目前该证书已被吊销。
Posted in威胁分析
Mimic勒索软件分析
概述
Mimic勒索，最早发现于2022年6月，其特点是利用了合法的文件搜索工具Everything提供的API，通过Everything32.dll中的函数可以实现文件快速检索，获得指定后缀格式文件的路径，从而大大提高文件加密的效率。Mimic勒索中还使用了泄露的Conti勒索软件代码实现访问共享与端口扫描，使用CryptoPP库提供的加密算法。不仅如此，Mimic勒索开发者添加了许多额外的功能来保证顺利完成加密。
Posted in威胁分析
Megazord勒索软件分析
概述
Megazord勒索软件是Akira勒索软件新的变种，Akira勒索软件于2023年3月出现，在6月的时候出现了Linux版本，加密方式是RSA + AES结合对文件进行加密。与之前不同的是此次的样本使用Rust语言编写，其加密方式很新颖，用了以往不常见的curve25519椭圆曲线非对称加密算法和sosemanuk对称加密算法的组合来进行加密，加密后的文件的后缀名为.powerranges，还会在每个文件夹下释放一个勒索文档。