一、小结

过去几个月中，思科交换机Talos一直在监管各种各样恶意软件派发活动，她们运用恶意软件载入程序流程Brushaloader向系统软件出示恶意软件荷载。当今Brushaloader的特性是应用各种各样脚本 *** ，如PowerShell，以更大限度地降低受感柒系统软件上的产品工件总数。Brushaloader还运用VBScript和PowerShell的组成来建立远程登录木马病毒（RAT），容许在受感柒的系统软件上实行持续性指令。

伴随着攻击者不断完善并加上别的作用，Brushaloader已经积极主动开发设计和健全。自2018年中后期至今，大家早已明确了该威协的数次行動。大家观查到的与Brushaloader有关的大部分恶意软件派发活动均运用对于特殊地理区域的故意电子邮箱来派发各种各样恶意软件荷载，主要是Danabot。Danabot已在这里（ here）和这里（ here）详细说明，因而文中将关键详细介绍Brushaloader本身的剖析。Talos近期发觉与Brushaloader有关的恶意软件派发活动总数明显提升，各种各样技术性和避开作用及其沙盒游戏躲避的执行造成检验率明显减少。

ThreatGrid中出示的高級cmd财务审计和汇报作用能够更合理的剖析Brushaloader等威协。例如Brushaloader这类的威协证实了保证在大部分公司自然环境中的节点上开启和配备PowerShell日志纪录的必要性。

二、BRUSHALOADER的历史时间

造成大家留意的之一个Brushaloader活动追朔到2018年8月。最开始引人注意，是由于它只应用对于芬兰受害人的波兰语电子邮箱。尽管一般 会见到威协以多语种精准定位客户，但攻击者一般 不对于单独欧洲各国/地域。下边是来源于该之一次进攻活动中一封电子邮件的实例，在其中表明了大家期待从Brushaloader得到的特点：包括Visual Basic脚本 *** 的RAR配件，该脚本 *** 会造成最后免费下载和实行Danabot的Brushaloader。

它是此电子邮箱的另一个特性，它在全部Brushaloader进攻中保存一个主题风格：“Faktura”或波兰语中的税票。在下面的几个月中有一些转变，但不管語言怎样，税票和清算都将在这种垃圾短信活动中充分发挥尤为重要的功效。

就配件自身来讲，它一般 由一个RAR文件构成，其文件夹名称包括英语单词“faktura”。RAR文件一般 包括一个VBScript，能够拓展别的重力梯度。脚本 *** 自身早已有一些与沙盒或 *** 模拟避开相关的趣味技术性，大家稍候将在blog中探讨。该脚本 *** 沒有被比较严重搞混，而且应用wscript根据HTTP合理的创建了与硬编码IP地址的指令和操纵（C2）通讯。在这里特殊进攻活动中查看的网站地址为：·

伴随着時间的变化，一种方式逐渐出現：活动不断一到两个星期，随后在重启以前清静几个星期。 攻击者的犯案技巧基本相同，波兰语垃圾短信活动与税票或“Faktura”有关，在其中包括一个內部含有故意VBScript的RAR文件。有关这种活动的一个常见问题是关机時间的转变，攻击者已经改善VBScript尝试躲避检验和剖析及其怎样创建C2通讯。使我们看来一些事例。

1. *** 模拟避开，多路径C2执行

大家剖析的第二个关键活动早已加上了一些作用。最开始，威协尝试联接到不会有的域名以查验 *** 模拟等內容。 第二个活动完成了一个“无尽”递归循环系统，假如该GET要求造成HTTP / 200标示取得成功回应，则该循环系统再次反复。这是一个表明新作用的迅速屏幕截屏。

这一简单的代码精彩片段包含对不会有的域名（www[.]dencedence[.]denceasdq）（1）的GET要求，假如出示HTTP / 200以响应当要求所采用的流程（2），那麼当寻找HTTP / 200时，最后进到“无尽”递归循环系统（3）。它是一种雅致、简易的方式，用以明确 *** 模拟是不是已经产生并延迟时间故意实行。这种简易的技术性在防止一些种类的检验和剖析层面十分合理。

几日后发布的进攻活动早已开展了一些别的的修定。初期版本号的脚本 *** 仅根据硬编码的IP地址开展通讯。 此进攻活动在域名和硬编码IP中间完成了任意挑选。下列是该类演化的一个实例。

最上边的涵数表明原始C2要求。能够见到该要求包括一些新的自变量和作用（1），任意挑选DaLoweRsxMinsa涵数（2）中下边列举的2个选择项之一。 在这儿，能够见到硬编码的IP地址（192[.]3[.]204[.]226）和回应同样途径但代管在不一样 *** 服务器上的域名（emailerservo[.]science）。伴随着時间的变化，这一特殊作用将在下面的几个月内维持一些细微的转变。

2.加上到搞混的合理合法URL

在下面的好多个进攻活动中，在9月底和10月初，在应用不会有的域名及其试着搞混C2通讯层面开展了微小的变更，但沒有产生重特大转变。10月初，攻击者加上了第三个合理合法域名，以下所显示：

在这儿，攻击者早已将google[.]com加上到C2通讯的潜在性来源于。在下面的几个月里，合理合法网址包含www[.]ti[.]com和www[.]bbc[.]com等网址。它是沙盒游戏躲避的另一种简易方式，在其中VBScript按时总是向合理合法域推送要求。

3.简约版本号出現

2018年10月期内发生了更加重特大的转变，删掉不会有域名的查验，在wscript中完成注册表文件查验，以试着从注册表文件中读赋值。应用此开展一些管理权限查验，但全部客户都能够查看HKEY_CURRENT_USER。下边是该查验执行时的屏幕截屏。

这类定期检查作用相对而言是短暂性的，由于在10月的最终几日，攻击者彻底摆脱了WScript，并将绝大多数作用立即迁移到Internet Explorer。除开转换到Internet Explorer开展Web通讯以外，VBScript也获得了巨大的简单化，从一个4k高清B的文本文档变成低于1KB。 下边是全部VBScript的屏幕截屏。 删除了大部分定期检查避开技术性，除开一些拓展的sleep指令便于使一些沙盒游戏技术性请求超时。