江蘇
關(guān)鍵詞
勒索軟件
代號(hào)為 TA584 的高活躍度初始訪問中間商近期被發(fā)現(xiàn)，正利用 Tsundere Bot 與 XWorm 遠(yuǎn)程訪問木馬獲取目標(biāo)網(wǎng)絡(luò)訪問權(quán)限，為后續(xù)勒索軟件攻擊創(chuàng)造條件。
自 2020 年以來，Proofpoint 研究人員便持續(xù)追蹤 TA584 的活動(dòng)。他們指出，該威脅組織近期大幅擴(kuò)大攻擊規(guī)模，并構(gòu)建了一套可規(guī)避靜態(tài)檢測(cè)的持續(xù)性攻擊鏈。
Tsundere Bot 惡意軟件于去年首次由卡巴斯基公開披露，研究人員將其歸屬至一個(gè)與 123 Stealer 竊密木馬相關(guān)聯(lián)的俄語系攻擊組織。盡管該惡意軟件最初的攻擊目的與傳播途徑尚不明確，但 Proofpoint 表示，其可用于信息收集、數(shù)據(jù)竊取、橫向移動(dòng)以及部署額外惡意載荷。
鑒于研究人員已觀測(cè)到 TA584 在攻擊中使用該惡意軟件，所以研究團(tuán)隊(duì)高度確信，遭受 Tsundere Bot 感染的主機(jī)極有可能成為后續(xù)勒索軟件攻擊的目標(biāo)。
2025 年末，TA584 的攻擊活動(dòng)總量較同年第一季度增長(zhǎng)兩倍，攻擊范圍也從傳統(tǒng)的北美、英國(guó)及愛爾蘭地區(qū)，進(jìn)一步擴(kuò)展至德國(guó)、歐洲多國(guó)及澳大利亞。
TA584 活動(dòng)的數(shù)量
該組織當(dāng)前主流攻擊鏈流程如下：首先利用數(shù)百個(gè)遭劫持的老舊郵箱賬戶，通過 SendGrid 與亞馬遜簡(jiǎn)易郵件服務(wù)（SES）發(fā)送釣魚郵件；郵件包含針對(duì)不同目標(biāo)的專屬鏈接，并設(shè)置地理圍欄與 IP 過濾機(jī)制，跳轉(zhuǎn)鏈路中通常會(huì)引入 Keitaro 等第三方流量分發(fā)系統(tǒng)（TDS）。
通過過濾機(jī)制的用戶會(huì)進(jìn)入人機(jī)驗(yàn)證（CAPTCHA）頁面，隨后跳轉(zhuǎn)至 ClickFix 頁面，頁面會(huì)誘導(dǎo)用戶在本地執(zhí)行一條 PowerShell 命令。
CAPTCHA ( 左 ) 和 ClickFix ( 右 ) 頁面
該命令會(huì)下載并執(zhí)行一段經(jīng)過混淆處理的腳本，將 XWorm 或 Tsundere Bot 加載至內(nèi)存中，同時(shí)將瀏覽器重定向至正常網(wǎng)站以掩蓋惡意行為。
PowerShell 腳本
Proofpoint 表示，多年來 TA584 在攻擊中使用過大量惡意載荷，包括 Ursnif、LDR4、WarmCookie、Xeno RAT、Cobalt Strike 以及 DCRAT，其中 DCRAT 在 2025 年的一起攻擊事件中仍被使用。
Tsundere Bot 是一款具備后門與加載器功能的惡意軟件即服務(wù)（MaaS）平臺(tái)，運(yùn)行依賴 Node.js 環(huán)境，該環(huán)境會(huì)通過其命令與控制（C2）面板生成的安裝程序自動(dòng)部署到受害者設(shè)備中。
該惡意軟件采用改進(jìn)版 EtherHiding 技術(shù)，從以太坊區(qū)塊鏈中獲取 C2 服務(wù)器地址，安裝程序中同時(shí)內(nèi)置硬編碼備用地址，以防主地址失效。
惡意軟件通過 WebSocket 協(xié)議與 C2 服務(wù)器通信，并內(nèi)置系統(tǒng)區(qū)域檢測(cè)邏輯：若檢測(cè)到設(shè)備使用獨(dú)立國(guó)家聯(lián)合體（CIS）成員國(guó)語言（以俄語為主），則立即終止運(yùn)行。
此外，Tsundere Bot 會(huì)收集系統(tǒng)信息以構(gòu)建受感染主機(jī)畫像，可執(zhí)行從 C2 服務(wù)器下發(fā)的任意 JavaScript 代碼，并支持將受感染主機(jī)作為 SOCKS 代理使用。該惡意軟件平臺(tái)還內(nèi)置交易市場(chǎng)，可直接進(jìn)行木馬程序的買賣交易。
安全圈
網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全
實(shí)時(shí)資訊一手掌握！
好看你就分享 有用就點(diǎn)個(gè)贊
支持「安全圈」就點(diǎn)個(gè)三連吧！
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
