警惕,研究者发现在线表格可能暗含恶意软件Bazar Loader

安全
BazarLoader 通常作为多阶段恶意软件中的一环,后续可以部署 Conti 勒索软件或者 Cobalt Strike 恶意样本。

尽管钓鱼邮件仍然是传统的攻击途径,但攻击者也一直并未放弃寻找新攻击方式。最近,研究人员发现 BazarLoader 通过在线表格发起攻击。

BazarLoader 被认为与网络犯罪组织 Wizard Spider 关系极为密切,该组织开发了 Trickbot 银行木马和 Conti 勒索软件而广为人知。

在 2021 年时,BazarLoader 曾假借盗版内容进行传播。攻击者威胁要对持续侵犯版权的行为采取法律行动,恶意软件被描述为不当行为的证据。

在线表格

在 2021 年 12 月至 2022 年 1 月间,研究人员发现攻击者并不是直接发送钓鱼邮件发起攻击,而是通过在线表格实现攻击。

攻击者伪装成加拿大豪华建筑公司的员工,寻求产品的报价。攻击者选用该方法有两个目的:

  • 将流量伪装成合法流量
  • 通过合法发件人发送,逃避了恶意邮件检测

攻击者只需要等着目标公司的受害者主动送上门即可。

发送恶意样本

通过电子邮件确认身份后,攻击者将以项目谈判的名义引诱受害者下载恶意文件。

电子邮件

攻击者通常是使用文件共享服务 TransferNow 和 WeTransfer 进行样本投递。

样本下载

BazarLoader 恶意软件

攻击者共享的是 .iso 文件,其中包含两个伪装成不同文件类型的文件。看上去其中一个是指向所在文件夹的快捷方式,另一个是带有合法 Windows 文件名的 .log 文件。实际上,一个是 Windows 的 LNK 文件,另一个是 DumpStack.log 文件。

通过 TransferNow 发送的恶意软件

快捷方式允许创建者指定命令行参数在受害者设备上执行操作,攻击者常常利用该类型的文件进行攻击。

ISO 文件

LNK 文件会使用 regsvr-32.exe打开终端运行 DumStack.log,后者为 BazarLoader 的 DLL 文件。

LNK 文件

DLL 通过进程注入 svchost.exe来逃避检测,并且使用 443 端口与 C&C 服务器 13.107.21.200 进行通信。

进程

建立连接

建立连接

调查时部分 C&C 服务器已经关闭,无法下载后续载荷。根据数据关联,可以发现相关的恶意软件链接。

关联图

与 IP 地址相关的恶意软件如下所示:

恶意样本

总结

攻击者会冒充知名企业创建相似域名来获取受害者的信任,例如将 .com 顶级域名更改为 .us。

BazarLoader 通常作为多阶段恶意软件中的一环,后续可以部署 Conti 勒索软件或者 Cobalt Strike 恶意样本。

责任编辑:赵宁宁 来源: FreeBuf.COM
相关推荐

2015-12-01 15:36:10

逆向工程命令行工具Process Dum

2021-02-26 01:01:51

影子攻击漏洞攻击

2021-12-20 09:00:00

深度学习神经元网络安全

2012-03-23 09:28:14

2013-07-27 20:01:11

恶意软件

2021-05-04 21:14:28

恶意软件黑客网络攻击

2019-05-22 08:11:51

Winnti恶意软件Linux

2022-02-15 14:01:01

勒索软件加密货币Linux

2021-03-31 09:17:46

Android恶意软件攻击

2023-06-14 16:29:51

2013-11-15 15:36:23

2022-07-18 23:44:32

安全漏洞信息安全

2021-08-12 08:50:48

FlyTrap恶意软件账户

2016-02-24 22:26:04

2023-11-01 13:29:01

2021-07-28 10:10:06

微软LemonDuck恶意软件

2022-08-15 06:59:45

恶意软件恶意包

2013-10-09 09:27:58

2022-07-12 15:23:38

勒索软件网络攻击

2023-07-03 22:30:27

点赞
收藏

51CTO技术栈公众号