關(guān)鍵詞

黑客

據(jù)Fortinet FortiGuard Labs觀察，疑似與朝鮮民主主義人民共和國(guó)（DPRK）關(guān)聯(lián)的威脅行為體正在利用GitHub作為命令控制（C2）基礎(chǔ)設(shè)施，對(duì)韓國(guó)組織實(shí)施多階段攻擊。

攻擊鏈以混淆的Windows快捷方式（LNK）文件為起點(diǎn)，投放誘餌PDF文檔和PowerShell腳本，為下一階段攻擊做準(zhǔn)備。據(jù)評(píng)估，這些LNK文件通過(guò)釣魚郵件分發(fā)。

載荷下載后，受害者看到PDF文檔，同時(shí)惡意PowerShell腳本在后臺(tái)靜默運(yùn)行。該腳本掃描虛擬機(jī)、調(diào)試器和取證工具相關(guān)運(yùn)行進(jìn)程以抵抗分析，檢測(cè)到任一進(jìn)程即立即終止。

否則，腳本提取Visual Basic腳本（VBScript），通過(guò)計(jì)劃任務(wù)設(shè)置持久化——每30分鐘在隱藏窗口啟動(dòng)PowerShell載荷以規(guī)避檢測(cè)，確保系統(tǒng)每次重啟后自動(dòng)執(zhí)行。

隨后，PowerShell腳本分析受感染主機(jī)，將結(jié)果保存至日志文件，并使用硬編碼訪問(wèn)令牌外泄至”motoralis”賬戶創(chuàng)建的GitHub倉(cāng)庫(kù)。該活動(dòng)創(chuàng)建的GitHub賬戶還包括”God0808RAMA”、”Pigresy80″、”entire73″、”pandora0009″和”brandonleeodd93-blip”等。

腳本隨后解析同一GitHub倉(cāng)庫(kù)中的特定文件以獲取額外模塊或指令，使運(yùn)營(yíng)者能夠利用GitHub等平臺(tái)的信任關(guān)系混入其中，維持對(duì)受感染主機(jī)的持久控制。

Fortinet表示，該活動(dòng)早期迭代曾依賴LNK文件傳播Xeno RAT等惡意軟件家族。值得注意的是，去年ENKI和Trellix曾記錄利用GitHub C2分發(fā)Xeno RAT及其變種MoonPeak的攻擊，這些攻擊被歸因于朝鮮國(guó)家支持的組織Kimsuky。

安全研究員Cara Lin表示：”威脅行為體不依賴復(fù)雜的定制惡意軟件，而是使用原生Windows工具進(jìn)行部署、規(guī)避和持久化。通過(guò)最小化投放PE文件的使用并利用LolBins，攻擊者能夠以低檢測(cè)率瞄準(zhǔn)廣泛受眾?！?/p>

此次披露恰逢AhnLab詳細(xì)介紹Kimsuky類似的基于LNK的感染鏈，最終導(dǎo)致基于Python的后門部署。

LNK文件如前所述執(zhí)行PowerShell腳本，在”C:\windirr”路徑創(chuàng)建隱藏文件夾以存放載荷，包括誘餌PDF和另一個(gè)偽裝成Hangul文字處理器（HWP）文檔的LNK文件。同時(shí)還部署中間載荷以設(shè)置持久化并啟動(dòng)PowerShell腳本，后者使用Dropbox作為C2通道獲取批處理腳本。

批處理文件隨后從遠(yuǎn)程服務(wù)器（”quickcon[.]store”）下載兩個(gè)獨(dú)立的ZIP文件片段，合并為單一檔案，從中提取XML任務(wù)調(diào)度器和Python后門。任務(wù)調(diào)度器用于啟動(dòng)植入程序。

該基于Python的惡意軟件支持下載額外載荷并執(zhí)行C2服務(wù)器發(fā)出的命令，可運(yùn)行shell腳本、列出目錄、上傳/下載/刪除文件，以及運(yùn)行BAT、VBScript和EXE文件。

這些發(fā)現(xiàn)也恰逢ScarCruft從傳統(tǒng)LNK攻擊鏈轉(zhuǎn)向基于HWP OLE的投放器以投遞RokRAT——該遠(yuǎn)控木馬為朝鮮黑客組織獨(dú)家使用。據(jù)S2W稱，具體而言，惡意軟件作為OLE對(duì)象嵌入HWP文檔，通過(guò)DLL側(cè)加載執(zhí)行。

這家韓國(guó)安全公司表示：”與之前從LNK投放BAT腳本到shellcode的攻擊鏈不同，本案例證實(shí)使用新開發(fā)的投放器和下載器惡意軟件來(lái)投遞shellcode和ROKRAT載荷。”

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！