微软Windows受到Hafnium恶意软件"Tarrask"的集团化攻击

安全
微软检测和响应小组(DART)在一篇博文中解释说,Hafnium集团正在利用Tarrask这种"防御规避恶意软件"来规避Windows的防御,并确保被破坏的环境保持脆弱。

对微软Exchange服务器造成严重破坏的臭名昭著的Hafnium黑客组织回来了。但这一次,微软清楚地知道这个国家支持的威胁行为者团体的活动意图,该组织正在利用"Tarrask"恶意软件来瞄准并不断削弱Windows操作系统的防御能力。

微软检测和响应小组(DART)在一篇博文中解释说,Hafnium集团正在利用Tarrask这种"防御规避恶意软件"来规避Windows的防御,并确保被破坏的环境保持脆弱。

随着微软继续追踪高优先级的国家支持的威胁行为者HAFNIUM,我们发现了新的活动,利用未修补的零日漏洞作为初始载体。进一步的调查显示了使用Impacket工具执行取证,并发现了一个名为Tarrask的防御规避恶意软件,它创建了"隐藏"的计划任务,并随后采取行动删除任务属性,以掩盖计划任务的传统识别手段。

微软正在积极跟踪Hafnium的活动,并意识到该组织正在利用Windows子系统内的新的漏洞。该组织显然是利用了一个以前未知的Windows漏洞,将恶意软件隐藏在"schtasks /query"和任务调度程序中。

该恶意软件通过删除相关的安全描述符注册表值成功地逃避了检测。简单地说,一个尚未打补丁的Windows任务调度程序错误正在帮助恶意软件清理其踪迹,并确保其磁盘上的恶意软件有效残余尽可能地不显示出相关性,展示出潜伏能力与迷惑性。其结果是,该组织似乎正在使用"隐藏的"计划任务,即使在多次重启后也能保留对被入侵设备的访问。与任何恶意软件一样,即使是Tarrask也会重新建立与指挥和控制(C2)基础设施的中断连接。

微软的DART不仅发出了警告,而且还建议在Microsoft-Windows-TaskScheduler/Operational Task Scheduler日志中启用"TaskOperational"的日志。这有助于管理员从关键的资产中寻找可疑的出站连接。

了解更多:https://www.microsoft.com/security/blog/2022/04/12/tarrask-malware-uses-scheduled-tasks-for-defense-evasion/

责任编辑:赵宁宁 来源: 今日头条
相关推荐

2009-01-16 09:18:03

金山软件求伯君软件

2020-07-10 14:02:14

Windows 10微软新功能

2024-03-07 16:35:29

2010-05-28 11:14:38

2020-07-10 16:03:20

微软浏览器Windows

2022-08-22 11:01:37

网络攻击恶意软件

2013-04-27 14:27:39

大数据全球技术峰会大数据开放数据平台

2021-07-28 10:10:06

微软LemonDuck恶意软件

2013-03-01 10:43:05

致远协同

2013-10-12 15:52:10

通达OA

2013-04-26 09:45:35

2012-07-12 09:58:49

2012-07-12 09:10:37

2021-04-08 20:48:00

Purple Fox恶意软件Windows设备

2021-09-09 06:32:28

零日漏洞网络攻击微软

2012-05-14 16:18:08

2022-05-05 09:04:33

恶意软件黑客

2009-07-15 16:05:04

IP通信捷思锐科技Zed-3

2015-05-04 10:24:01

2021-11-17 10:24:46

微软攻击恶意软件
点赞
收藏

51CTO技术栈公众号