XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

全球威胁组Fin7返回新的SQLRat恶意软件

发布时间:2019-03-21 17:27:32 来源:

众所周知的着名威胁组织Fin7,也称为Carbanak,又带来了一套新的管理员工具和前所未见的恶意软件形式。

Fin7自2015年以来一直活跃,自该集团成立以来,已经与全球数百家公司的攻击有关。

仅在美国就有100多家公司受到影响,其中许多受害者来自餐饮,游戏和酒店业。据信,黑客至今已在数千个地点的6,500多个销售点(PoS)终端窃取了至少1500万张美国信用卡记录。

今年8月,美国司法部(DoJ)逮捕了三名乌克兰国民,他们被怀疑是Fin7的高级成员,后者在一家名为Combi Security的看似合法的前线公司背后运营。嫌疑人在德国,波兰和西班牙被追捕并被捕。

尽管遭到逮捕,但该组织似乎仍然活跃并致力于其犯罪事业,现在强调了Fin7用于危害受害者的工具的演变。

周三,Flashpoint的研究人员发布了有关Fin7近期活动的新研究。

Fin7经常使用非常常见的攻击媒介,网络钓鱼,试图欺骗潜在的受害者下载和执行恶意软件。发送带有恶意附件的网络钓鱼电子邮件,特别是发现了一种新形式的恶意软件。

Flashpoint调用新的示例SQLRat。恶意软件能够在受到破坏的系统上删除和执行SQL脚本,网络安全公司称之为“巧妙”,因为“它们不会像传统恶意软件那样留下文物。” 反过来,这使得黑客跟踪,取证和逆向工程变得非常困难。

该脚本伪造连接到由Fin7控制的Microsoft数据库,然后执行各种表,包括自定义版本的TinyMe(一种开源的Meterpreter stager)的磁盘写入 - 但威胁参与者不限于他们可以选择的内容下载或执行到受感染的计算机上。

SQLRat通过覆盖vb表单触发器的图像传播,该表单触发器向网络钓鱼电子邮件的收件人询问“解锁受保护的内容”。如果双击,表单将执行VB脚本以开始感染过程,并创建两个任务计划条目以维持持久性。

之前在Fin7战术中没有看到过这种技术。

另一个名为DNSbot的新恶意软件样本是一个多协议后门,它通过DNS流量进行操作,以交换命令并将数据传入和传出受感染的系统。恶意软件还能够切换到加密通道,包括HTTPS和SSL。

另外特别值得注意的是一个名为Astra的新攻击小组。Astra用PHP编写,用作脚本管理系统,将攻击脚本推送到受感染的PC。

Cobalt Strike是一种合法的渗透测试工具,不幸的是,它也成为包括Fin7在内的黑客组织的最爱,包含了一个漏洞 - 在今年修补了 - 它不知不觉地揭示了真正的Cobalt Strike实例,而且还有过多的命令和控制(C2)服务器属于黑客利用该工具。

热点推荐
随机文章