投稿
  1. 谷达鸭首页
  2. 投稿

北韩骇客Lazarus利用Windows Update躲避侦测、还以GitHub远程控制

游研社 • • 投稿

Malwarebytes揭露Lazarus网钓攻击新手法，包括利用Windows Update客户端执行恶意程式码，在其掩护下躲避安全软体侦测

资安厂商Malwarebytes发现，北韩骇客Lazarus又开始活动，近日攻击更发展出以Windows Update客户端执行恶意程序以避免侦测，以及将GitHub当成外部控制服务器等新式手法。

Lazarus最初是在2014年攻击索尼影业（Sony Pictures）为人所知，而后以发动WannyCry蠕虫软件攻击，瘫痪全世界多个国家机场、企业及或关键设施闻名。

安全厂商Malwarebytes发现Lazarus两起手法新颖的钓鱼信件攻击。 两起攻击分别是发生于去年12月及今年初，都是透过冒名提供洛克希德马丁（Lockheed Martin）工作机会的Word档案以诱使用户下载开启，作为攻击第一步。

北韩骇客Lazarus利用Windows Update躲避侦测、还以GitHub远程控制

这些档案内含恶意宏，经用户开启后即展开攻击过程，包括下载恶意DLL文件及注入合法行程。 其中攻击者在exeplorer.exe加载drop_lnk.dll执行，以便在启动文件夹下载WindowsUpdateConf.lnk，并检视是否有wuaueng.dll，如果没有就再下载其他档案来完成下载这个dll。 研究人员指出，WindowsUpdateConf.lnk执行C：\Windows\system32\wuauclt.exe这个手法相当特殊，因为攻击者可利用Windows Update客户端执行恶意程式码，在其掩护下避免被安全软件侦测到。

若黑客检视没有wuaueng.dll，即额外下载runtimebroker.dll，在C：\Wíndows\system32\建立恶意目录再下载这个.dll档，这个手法也有助于隐匿踪迹。 透过下载wuaueng.dll这整个攻击链最重要的.dll文件，让受害者机器中的恶意程式得以和外部C&C服务器建立连线。

利用GitHub作为C&C服务器的手法，也是安全厂商第一次发现Lazarus黑客使用。 研究人员认为用它来进行短期的精准攻击相当聪明，因为安全软件很难分辨恶意和合法连线。

北韩骇客Lazarus利用Windows Update躲避侦测、还以GitHub远程控制

至于Lazarus骇客究竟在受害者电脑植入了何种核心模块，研究人员还不清楚，因为黑客已经从受害者电脑中将之清除。 目前仅知该模块并不会接触到磁盘，防毒软件不容易侦测到其存在。 此外，它会搜集用户用户名称、电脑名称、执行中的行程列表，并将信息传给C&C服务器。

赞 (0)
打赏 微信扫一扫 微信扫一扫
游研社游研社认证作者
0 0

相关推荐

发表评论

登录后才能评论