盗版Office软件「打包」多款恶意程序入侵用户系统
2024-6-4 15:3:22 Author: mp.weixin.qq.com(查看原文) 阅读量:0 收藏

据BleepingComputer消息,AhnLab 安全情报中心(ASEC)发现网络攻击者正利用资源网站上的盗版微软 Office办公软件传播多种恶意软件。

这些恶意软件包括远程访问木马(RAT)、加密货币挖掘机、恶意软件下载器、代理工具和反病毒程序。

破解版 Office 安装程序具有精心设计的界面,用户可以选择要安装的版本、语言。用户一旦开始安装,安装程序就会在后台启动一个混淆的 .NET 恶意软件,该恶意软件会联系 Telegram 或 Mastodon 频道,以接收一个有效的下载 URL,并从该 URL 获取其他组件。

恶意Office安装程序界面(来源:ASEC)

由于URL 指向 Google Drive 或 GitHub,这两种合法服务都不太可能触发防病毒警告。这些平台上托管的 base64 有效载荷包含 PowerShell 命令,使用 7Zip 解压缩后可将一系列恶意软件引入系统。

获取和解压缩恶意软件的组件(来源:ASEC)

恶意软件组件「Updater」会在 Windows 任务计划程序中注册任务,以确保在系统重启期间持续运行。据 ASEC 称,恶意软件会在被入侵系统上安装以下类型的恶意软件:

  • Orcus RAT:实现全面远程控制,包括键盘记录、网络摄像头访问、屏幕捕获和系统操作,以实现数据外渗。

  • XMRig:使用系统资源挖掘 Monero 的加密货币矿机,会在受害者玩游戏等资源使用率高的时候停止挖矿,以避免被发现。

  • 3Proxy:通过打开 3306 端口将受感染系统转换为代理服务器,并将其注入合法进程,允许攻击者路由恶意流量。

  • PureCrypter:下载并执行来自外部的额外恶意有效载荷,确保系统持续感染最新威胁。

  • AntiAV:通过修改配置文件破坏和禁用安全软件,阻止软件正常运行。

即使用户发现并删除了上述恶意软件,在系统启动时执行的「更新器」模块也会重新引入恶意软件。

类似的活动也被用来推送 STOP 勒索软件——一款针对消费者的活跃勒索软件。

攻击链(来源:ASEC)

由于这些文件没有数字签名,且用户在运行这些文件时通常会忽略杀毒软件的警告,因此它们经常被网络攻击者用来入侵系统。建议用户在安装从可疑来源下载的文件时应谨慎,一般应避免安装盗版/破解软件。

原文来源:FreeBuf
“投稿联系方式:010-82992251   [email protected]


文章来源: https://mp.weixin.qq.com/s?__biz=MzkyMzAwMDEyNg==&mid=2247544206&idx=2&sn=39a7d05b57f91abf471a3673a84245c5&chksm=c1e9a1dff69e28c9f03e35e06b968b6d6c6199780e2794f69a6f7185f8eeb70871613ca10767&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh