關(guān)鍵詞

惡意壓縮包

據(jù)觀(guān)察，與俄羅斯相關(guān)的威脅行為者UAC-0184一直在利用Viber即時(shí)通訊平臺(tái)投遞惡意ZIP壓縮包，以此針對(duì)烏克蘭軍方和政府實(shí)體。

“該組織在2025年持續(xù)對(duì)烏克蘭軍方和政府部門(mén)進(jìn)行高強(qiáng)度情報(bào)搜集活動(dòng)”。

該黑客組織也被追蹤為Hive0156，主要以在網(wǎng)絡(luò)釣魚(yú)郵件中利用戰(zhàn)爭(zhēng)主題誘餌，在針對(duì)烏克蘭實(shí)體的攻擊中投遞Hijack Loader而聞名。該惡意軟件加載器隨后會(huì)成為感染Remcos遠(yuǎn)程訪(fǎng)問(wèn)木馬的途徑。

該威脅行為者最早由烏克蘭計(jì)算機(jī)應(yīng)急響應(yīng)小組于2024年1月初記錄。隨后的攻擊活動(dòng)被發(fā)現(xiàn)利用Signal和Telegram等即時(shí)通訊應(yīng)用作為惡意軟件的傳播載體。中國(guó)安全廠(chǎng)商的最新發(fā)現(xiàn)表明，這一戰(zhàn)術(shù)得到了進(jìn)一步演化。

攻擊鏈包括將Viber用作初始入侵向量，分發(fā)包含多個(gè)Windows快捷方式文件的惡意ZIP壓縮包。這些LNK文件偽裝成Microsoft Word和Excel官方文檔，以誘騙接收者打開(kāi)它們。

這些LNK文件旨在向受害者展示一個(gè)誘餌文檔以降低其懷疑，同時(shí)在后臺(tái)通過(guò)PowerShell腳本從遠(yuǎn)程服務(wù)器獲取第二個(gè)ZIP壓縮包，從而靜默執(zhí)行Hijack Loader。

攻擊通過(guò)一個(gè)多階段過(guò)程在內(nèi)存中重構(gòu)并部署Hijack Loader，該過(guò)程采用了DLL側(cè)加載和模塊堆疊等技術(shù)來(lái)規(guī)避安全工具的檢測(cè)。隨后，該加載器通過(guò)計(jì)算相應(yīng)程序的CRC32哈希值，掃描環(huán)境中安裝的安全軟件，例如卡巴斯基、Avast、BitDefender、AVG、Emsisoft、Webroot和微軟的相關(guān)產(chǎn)品。

除了通過(guò)計(jì)劃任務(wù)建立持久性外，該加載器還在通過(guò)將其注入”chime.exe”進(jìn)程來(lái)隱蔽執(zhí)行Remcos RAT之前，采取措施破壞靜態(tài)簽名檢測(cè)。這款遠(yuǎn)程管理工具使攻擊者能夠管理終端、執(zhí)行負(fù)載、監(jiān)控活動(dòng)并竊取數(shù)據(jù)。

“盡管作為合法的系統(tǒng)管理軟件進(jìn)行營(yíng)銷(xiāo)，但其強(qiáng)大的侵入能力使其經(jīng)常被各種惡意攻擊者用于網(wǎng)絡(luò)間諜和數(shù)據(jù)竊取活動(dòng)”，”通過(guò)Remcos提供的圖形用戶(hù)界面控制面板，攻擊者可以對(duì)受害者的主機(jī)進(jìn)行批量自動(dòng)化管理或精確的手動(dòng)交互操作。”

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！