Emotet使用受损设备作为代理命令服务器


Emotet使用受损设备作为代理命令服务器


趋势科技研究人员在分析恶意软件的网络流量时发现了“另一种后感染流量”的新Emotet木马变种。新版本加入了用受感染连接设备作为代理C2服务器、用随机URI目录路径来规避基于网络的检测规则功能,试图用先前受到攻击的设备作代理、隐藏其真正的C2服务器。

连接设备作为额外的C2通信层

研究人员还发现,Emotet操作人员正尝试破坏IP摄像头、路由器、网络摄像头和Web界面/管理面板等设备,将其作为僵尸网络新的额外服务器通信层的一部分,添加到了伪装的基础设施中,“恶意软件被用来感染和收集易受攻击的连接设备,作为其他恶意活动的资源”。Emotet主人需要隐藏活动中所用的真实C2服务器,因其IP地址在恶意软件中是硬编码,能非常容易地分析僵尸网络的基础设施。


Emotet使用受损设备作为代理命令服务器


一些用作代理C2服务器的受感染设备

为提升隐身、随机生成的URI

Emotet有效负载使用带Powload Trojan压缩附件的恶意电子邮件传送到目标计算机上,启动后可下载Emotet可执行文件。

3月15日以来,研究人员便监控到新的POST感染Emotet流量,其发现新的银行木马变种在其POST请求中使用随机生成的URI目录路径,以更好融入主机的传出Web流量。

实现之前,Emotet会“用HTTP GET请求将受害人信息发送到C&C服务器、并将数据存储在Cookie标头中。 数据使用RSA密钥进行AES加密,之后在Base64中编码、再添加到Cookie值中,“新版本在HTTP POST消息内发送被盗信息,用RSA密钥和AES加密,并在Base 64中编码,检测到后可逃避检测或延迟进一步调查”。


Emotet使用受损设备作为代理命令服务器


Emotet流量比较

据US-CERT的TA18-201A建议,这些新增功能增加了恶意软件C2流量的整体复杂性,并与之前观察到的Emotet行为一致:

“Emotet是一种多态银行木马,可逃避典型的、基于签名的检测。它有几种维护持久性的方法,包括自动启动注册表项和服务。其使用模块化动态链接库(DLL)来不断发展和更新功能。另外Emotet有虚拟机感知功能,如在虚拟环境中运行,可能会生成错误指示符。”

更重要的一点,Emotet(也被称为Geodo或Heodo)是由MUMMY SPIDER(又名Mealybug)威胁小组创建的一个不断演化的模块化木马[ 1、2、3、4 ]。

Mealybug在大规模malspam活动时用其将恶意软件的有效载荷丢弃到目标上、窃取金融信息(如加密货币钱包或银行登录);此外,该木马还会泄露敏感数据(如登录凭据和个人身份信息(PII)数据等)。

在用模块将Emotet改进后,其能成为其他银行特洛伊木马或各种信息窃取模块化机器人(如Trickbot)的有效载体通道。黑客组织将其变成了一个巨大的僵尸网络、租给其他威胁组织。还观察到Emotet释放BitPaymer、LockerGoga、Ryuk [ 1、2、3 ]等勒索软件。

趋势科技虽没为该新Emotet变体提供妥协指标(IOC),但US-CERT在其TA18-201A恶意软件警报结束时提供了“限制Emotet及类似malspam影响最佳实践”的详细列表。

本文作者:Gump,转载自:http://www.mottoin.com/detail/3934.html


分享到:


相關文章: