利用木马化TeamViewer针对多个国家 *** 机构的攻击行动-黑客接单平台

访客5年前黑客工具559
近来Check Point的研讨人员发现了几起 *** 进犯事情,主要是针对美国财政部分的官员以及几位欧洲大使馆代表。此次进犯以伪装成秘要文件的歹意附件开端,经过将TeamViewer(一个盛行的长途拜访和桌面共享软件)兵器化来彻底操控受感染的电脑。 在研讨了此次进犯的感染链和基础设施后,咱们将其比对了从前的进犯事例,并将进犯者锁定在了一位俄语黑客身上。 在本文中,咱们将评论感染链、进犯方针、进犯者运用的东西以及进犯背面的或许原因。 感染链 感染始于一个带有歹意宏的XL *** 文档,该文档以“军事融资方案”(Military Financing Program)为主题,经过电子邮件发送给潜在方针: 电子邮件主题:军事融资方案 文档称号:“Military Financing Program.xl *** ” sha – 256:efe51c2453821310c7a34dca3054021 d0f6d453b7133c381d75e3140901efd12 图1:歹意文件 这份拷贝精巧的Excel文件,不但布景印上了美国标志,还在文档底部写上了“更高秘要”。尽管进犯者努力使文档看起来具有说服力,但他们好像疏忽了文档中留传的一些西里尔语的成分(比方作业簿的称号),而这或许会协助咱们提醒进犯源的更多信息。 图2:感染链 一旦宏启用,有两个文件将从XL *** 文档中的十六进制编码单元格中被提取。之一个文件是一个合法的AutoHotkeyU32.exe程序,另一个则是AutoHotkeyU32.ahk,它是一个AHK脚本,担任向C&C服务器发送POST恳求,并可以接纳其他AHK脚本URL用以下载和履行。 别的,有三个不同的AHK脚本在服务器上等候响应以敞开下一阶段: · hscreen.ahk:担任截取受害者PC的屏幕截图并将其上传到C&C服务器。 · hinfo.ahk:将受害者的用户名和计算机信息发送到C&C服务器。 · htv.ahk:下载并履行TeamViewer的歹意版别,并将登录凭证发送到C&C服务器。 歹意TeamViewer DLL(TV.DLL)经过DLL side-loading技能加载,用于经过钩住程序调用的Windows API为TeamViewer增加更多“功用”。 修正的功用包含: · 躲藏TeamViewer的接口,这样用户就不会知道它正在运转。 · 将当时TeamViewer会话凭证保存到文本文件中。 · 答应传输和履行额定的EXE或DLL文件。 图3:MoveFileW函数钩子:增加payload“履行”和“注入”功用。 进犯方针 如上一节所述,AutoHotKey脚本的首要用处之一是从受感染的PC上传屏幕截图。 这些截图上传到的目录是露出的,可以经过阅读特定的URL检查: 图4:翻开带有受害者截图的目录 可是,这些截屏文件会定时从服务器中删去,并且终究“open directory”视图会被禁用。 在那之前,咱们可以确认此次进犯的部分受害者,由于大多数截屏都包含了身份信息。 依据咱们在自己的遥测中观察到的方针,以及从服务器上收集到的信息,咱们可以列出部分方针国家的名单: · 尼泊尔 · 圭亚那 · 肯尼亚 · 意大利 · 利比里亚 · 百慕大 · 黎巴嫩 只是看它针对的国家名单,很难判别这场运动背面是否有地缘政治动机,由于它针对的不是某个特定区域,并且受害者来自世界各地。 不过,观察到的受害者名单显现,进犯者对公共金融部分特别感兴趣,由于他们好像都是进犯者“精心选择”的税务部分官员。 举动溯源 咱们观察到,该进犯者在其以往的进犯举动中都用到了TeamViewer的木马化版别,但歹意DLL的特性以及感染的之一阶段都跟着时刻的推移发生了改变。 传达 要挟行为者运用的初始感染载体也跟着时刻的推移而发生改变,在2019年,咱们曾在他 *** 的多起进犯事例中看到过自解压档案的多种用处,而不是运用AutoHotKey向用户显现钓饵图画的歹意文档。 例如,自解压档案“Положениеопрокуратурегорода(приказомпрокуроракрая)_25.12.2019.DOC.exe”(翻译成“市检察官办公室法令”(按区域检察官的指令)_25.12.2019.DOC.exe”)显现图画如下: 图6:钓饵图片 这张相片显现的是哈萨克斯坦的官员,发布于哈萨克斯坦外交部网站。该可履行文件的原始称号及其显现的内容好像都标明,它的方针是俄语受害者。 还有其他一些举动也是针对俄语人群的,其间就有一份兵器化的Excel文档中提到了需求启用宏才干显现文件完好的俄语内容: 图7:钓饵文件 SHA-256: 67d70754c13f4ae3832a5d655ff8ec2c0fb3caa3e50ac9e61ffb1557ef35d6ee 启用宏后文件将显现金融相关内容: [1][2][3]黑客接单网

相关文章

压缩包有密码怎么办,怎么找黑客查一个资料,网上找黑客查别人的资料靠谱吗

F12 输入 imageData.name , document.body.outerHTML 能够看调试成果select * from admin where id=1.1union select...

找个黑客接单子_qq黑客在哪里找靠谱

传统安全软件对Powershell的防护不甚完善,经过Powershell进行网络勒索,挖矿的歹意软件越来越多,进犯方法也越来越杂乱。 · 研究人员发现伪装成盛行文娱产品(如西班牙篮球界的Campeo...

小晴黑客在线接单_到那里找黑客高手

sudo apt-get update作为信息安全抢先媒体的小编,这次首要重视的是仍是关于“缺德的智能打扰电话”。 无在研讨过程中,咱们对两个易受攻击的PHP脚本进行了测验。 其间,榜首个脚本十分简略...

微信朋友圈强制查看器_我的世界歌曲黑客找him-黑客找彩票漏洞

「微信朋友圈强制查看器_我的世界歌曲黑客找him-黑客找彩票漏洞」菜刀的衔接办法为:试验环境Level 13 → Level 14[1][2][3][4]黑客接单渠道一般咱们在Google上面找SQL...

你还在赌博吗在上最近这几天我也输了多万

修复方案 根据相关数据源统计,目前,全球公共网络中有近300多万计算机开启了3389端口,即未改变端口的远程桌面服务(RDP),对于没有经过配置加固的内网更有大量机器开放相关端口服务。 因此,该漏洞既...

王者荣耀送号免费大全,找黑客解苹果ID锁得多少钱,找黑客帮忙追回钱

长处:可用于网站集群,对新式变种脚本有必定的检测才能。 Cobalt Strike -> Listeners然后拿了一些信息,比方数据库暗码:cat "spaces in this filena...