内存安全周报第151期 | 黑客组织Flax Typhoon利用LOLBins逃避检测

瞬间科学上网:http://v.dshanam.com/

一、黑客组织Flax Typhoon利用LOLBins逃避检测(8.25)经发现,新黑客组织“Flax Typhoon”针对政府机构、教育、关键制造和信息技术组织实施间谍活动详细情况据了解,黑客组织Flax Typhoon利用操作系统上已有的大部分组件,即live-off-the-land 二进制文件、LOLBins 以及合法软件来获取和维护对受害者网络的访问。

最早从2021年中期开始,Flax Typhoon主要攻击台湾的组织;经调查,东南亚、北美和非洲地区也存在Flax Typhoon的受害者Flax Typhoon 利用面向公众的服务器(包括 VPN、Web、Java 和 SQL 应用程序)中的已知漏洞获得初步访问权限。

随后,黑客投放China Chopper这一小型 (4KB), 但功能强大的 Web shell ,提供远程代码执行功能此外,Flax Typhoon使用开源工具“Juicy Potato”和“BadPotato”将权限提升至管理员级别,利用已知漏洞来获取更高权限。

之后,Flax Typhoon 通过注册表修改关闭网络级身份验证 (NLA) ,并利用 Windows 粘滞键辅助功能建立 RDP(远程桌面协议)连接,黑客使用本地系统权限访问任务管理器,启动终端后创建内存转储,对被感染的系统执行任何操作。

为规避 RDP 与内部网络的连接限制,Flax Typhoon 安装合法VPN(虚拟专用网络)桥,维护受感染系统与其外部服务器之间的链接Invoke-WebRequest (Microsoft.PowerShell.Utility) - PowerShell | Microsoft Learn 实用程序、 certutil | Microsoft Learn或 bitsadmin | Microsoft Learn)下载开源 SoftEther VPN 客户端 ,并滥用内置 Windows工具将 VPN 应用程序设置为在系统启动时自动启动。

vpn官方地址:https://www.sandrakurvits.com/

为最大限度降低检测风险,黑客将其重命名为“conhost.exe”或“dllhost.exe”,伪装成合法Windows 组件此外,Flax Typhoon 使用 SoftEther 的 VPN-over-HTTPS 模式将 VPN 流量隐藏为标准 HTTPS 流量。

研究人员表示,黑客使用 Windows 远程管理 (WinRM)、WMIC 和其他 LOLBins 进行横向移动,且Flax Typhoon经常使用 Mimikatz 工具,从本地安全授权子系统服务 (LSASS) 进程内存和安全帐户管理器 (SAM) 注册表配置单元中提取凭据。

https://www.bleepingcomputer.com/news/security/microsoft-stealthy-flax-typhoon-hackers-use-lolbins-to-evade-detection/

二、黑客利用WinRAR零日漏洞攻击交易账户(8.23)自2023年4月,黑客利用WinRAR零日漏洞CVE-2023-38831传播DarkMe、GuLoader、Remcos RAT等恶意软件,破坏在线加密货币交易账户。

详细情况据了解,黑客利用WinRAR 零日漏洞创建恶意.RAR和.ZIP存档,存档内存放JPG (.jpg) 图像、文本文件 (.txt) 或 PDF (.pdf) 看似无害的文件当用户打开文档时,零日漏洞CVE-2023-38831将执行脚本,在用户设备上安装恶意软件。

2023年8月2日,WinRAR News: WinRAR 6.23 final released,该版本修复了CVE-2023-38831、 CVE-2023-40477等漏洞研究人员发现, 漏洞CVE-2023-38831通过创建特制存档触发脚本运行,由于特质文档与安全文件相似,WinRAR 的 ShellExecute 函数在尝试打开诱饵文件时,会接收错误参数,导致程序跳过无害文件,转而定位并执行批处理或 CMD 脚本。

因此,当用户认为打开一个安全文件时,程序实际会启动一个不同的文件脚本执行后会启动一个自解压 (SFX) CAB 存档,该存档使用DarkMe、GuLoader 和 Remcos RAT等恶意软件菌株感染计算机,从而向黑客提供受感染设备的远程访问权限。

其中,黑客以交易者为目标,使用DarkMe窃取交易者的加密资产;同时,黑客使用Remcos RAT 获得受感染设备的更多权限,包括任意命令执行、键盘记录、屏幕捕获、文件管理和反向代理功能https://www.bleepingcomputer.com/news/security/winrar-zero-day-exploited-since-april-to-hack-trading-accounts/

梯子加速器:https://av1o.com/

 分享

本文由网络整理 © 版权归原作者所有

  •  主题颜色

    • 橘色
    • 绿色
    • 蓝色
    • 粉色
    • 红色
    • 金色
  • 扫码用手机访问

本站只提供WEB页面服务,本站不存储、不制作任何视频,不承担任何由于内容的合法性及健康性所引起的争议和法律责任。

若本站收录内容侵犯了您的权益,请附说明联系邮箱,本站将第一时间处理。

© 2024 www.a5fe.com  E-Mail:TG客服:https://t.me/sjkxswkf_bot  

观看记录