朝鲜'Kimsuky'威胁行为者正在不遗余力地确保他们的恶意有效载荷只被有效目标下载,而不是在安全研究人员的系统上。根据卡巴斯基今天发布的一份报告,自2022年开始,该威胁组织一直在采用新技术来过滤无效的下载请求,当时该组织针对朝鲜半岛的各种目标发起了新的活动。
(资料图片)
Kimsuky实施的新保障措施非常有效,卡巴斯基报告说,即使在成功连接到威胁者的指挥和控制服务器之后,也无法获得最终的恶意软件载荷。
卡巴斯基发现的攻击始于向朝鲜和韩国的政治家、外交官、大学教授和记者发送的钓鱼邮件。由于检索到含有部分目标电子邮件地址的C2脚本,卡巴斯基能够编制一份潜在目标的清单。
这些电子邮件包含一个链接,将受害者带到一个第一阶段的C2服务器,该服务器在提供恶意文件之前检查和验证一些参数。如果访问者不符合目标列表,他们会得到一个无害的文件。
这些参数包括访问者的电子邮件地址、操作系统(Windows是有效的),以及由第二级服务器投放的文件"[who].txt"。
同时,访问者的IP地址被转发给第二阶段的C2服务器,作为后续检查参数。
第一阶段C2投放的文件包含一个恶意的宏,将受害者连接到第二阶段C2,获取下一阶段的有效载荷,并通过mshta.exe进程运行。
发送给目标的一些文件
该有效载荷是一个.HTA文件,它也创建了一个自动执行的计划任务。它的功能是通过检查ProgramFiles文件夹路径、反病毒软件名称、用户名、操作系统版本、MS Office版本、.NET框架版本等,对受害者进行特征分析。
指纹结果被存储在一个字符串("chnome")中,一个副本被发送到C2,一个新的有效载荷被获取并在一个持久性机制中注册。
下一个有效载荷是一个VBS文件,可以把受害者带到一个完全正常的博客,或者,如果识别出他们是有效的目标,就把他们带到有效载荷下载阶段。
感染的每一步都会进行C2检查
"有趣的是,这个C2脚本根据受害者的IP地址生成了一个博客地址。在计算了受害者IP地址的MD5哈希值后,它切断了最后的20个字符,并把它变成了一个博客地址,"卡巴斯基详细说明。
"作者在这里的意图是为每个受害者操作一个专门的假博客,从而减少他们的恶意软件和基础设施的暴露。"
这时,受害者的系统会被检查是否存在不寻常的"chnome"字符串,该字符串是故意拼错的,作为一个独特的验证器,仍然不会引起怀疑。
Kimsuky的感染过程
不幸的是,卡巴斯基无法从这里继续下去,获取下一阶段的有效载荷,所以这是否会是最后一个,或者是否有大多数验证步骤,仍然是未知数。
Kimsuky是一个非常复杂的威胁行为者,最近被看到部署定制的恶意软件和使用Google浏览器扩展来窃取受害者的电子邮件。
卡巴斯基强调的活动展示出朝鲜黑客为对抗安全研究机构的分析并使他们的追踪变得更加困难而采用的精心设计的技术。
-
速看:腾讯2%股份进入香港中央结算系统根据香港交易所的数据,腾讯股东此前将1 93亿股股份转入了香...
-
热门:美团App首页改版,消息称未来流量将更多倾斜至商超零售据界面新闻报道,今日,多名用户反馈,美团App首页改版,打开...
-
每日播报!Netflix据悉正采取措施削减成本,包括缩减房地产规模、雇佣更多初级员工等据华尔街日报消息,在用户增长放缓的情况下,Netflix希望节省...
-
世界微头条丨多家航空公司推出赏月航班,计划执行的航班为1607个据央视财经报道,中秋假期临近,今年的中秋节月亮是标准的“...
-
每日速递:市场已有iPhone 14加价代预约服务,费用为200至600元据时代周报报道,北京时间今日凌晨,主题为“超前瞻”的2022...
-
每日短讯:苹果官网下架iPhone13Pro,降价促销iPhone13苹果下调了iPhone13售价,iPhone13降价促销。此外,iPhone13P...
-
天天亮点!iOS16将支持检测假冒AirPods耳机,并在iPhone上发出警告据IT之家报道,在此前的iOS系统中,当检测到非正品iPhone或iP...
-
全球快看点丨微软CFO出售近2000万美元股票,平均每股259.46美元根据美国证券交易委员会(SEC)的公开文件,微软CFOAmyHood出...
-
每日动态!联想推出“夺笋”APP:可一站式解决电脑问题今天,联想推出了一款名叫夺笋”的APP,安卓 iOS均可参与内...
-
天天即时看!消息称“抖音盒子”将暂停运营,内部员工已经开始转岗流程据36氪报道,多位知情人士称,字节跳动旗下的独立电商App“抖...
- 智联世界,元生无界!快手虚拟人IP亮相2022人工智能大会
2022-09-07 10:47:54
- 机器人界“奥林匹克”!2022世界机器人大会8月18日举行
2022-08-10 09:58:58
- 2025年全球人口将达到90亿!机器人将在农业领域大显身手
2022-07-14 09:41:10
- 中科院院士蒋华良:AI+分子模拟与药物研发将大有可为
2022-07-14 09:37:00
- “千垛之城荷你有约” 2022兴化市荷文化旅游节正式开幕
2022-07-07 09:28:34