澳大利亚通信公司失陷，被利用分发恶意样本
我要评论
近日 ，利亚微软披露 Microsoft Office 存在远程代码执行漏洞 CVE-2022-30190 。通信Avast 的公司研究人员发现澳大利亚通信公司 VOIPS Telecom 帕劳分公司已经被攻陷 ，用于分发恶意软件。失陷受害者打开恶意文档后，被利本将会通过恶意网站下载并执行恶意软件 。用分意样
复杂攻击攻击分为多个阶段 ，发恶相对复杂。利亚攻击者使用 LOLBAS（Living off the Land Binaries And Scripts）技术 ，服务器租用通信利用 CVE-2022-30190 漏洞恶意代码 ，公司无需将可执行文件落地 ，失陷尽量降低端点检出可执行文件的被利本可能性 。为了最大限度保持隐蔽 ，用分意样攻击者在多个阶段中都使用了合法签名 。发恶
第一阶段失陷的利亚网站上部署了一个名为 robots.txt的可执行文件 ，源码下载这样在日志中即使被发现也能够尽可能不引起管理人员的注意 。调用微软支持诊断工具程序（msdt.exe） ，下载 robots.txt并保存为 Sihost.exe，最后执行恶意程序。
下载文件
网络流量
解码命令
第二阶段当 msdt.exe 执行 Sihost.exe 时 ，样本会下载第二阶段的 Loader（b63fbf80351b3480c62a6a5158334ec8e91fecd057f6c19e4b4dd3febaa9d447） 。下载的亿华云 Loader 用于下载和解密第三阶段的恶意文件 ，该文件为也在相同 Web 服务器上部署的加密文件 favicon.svg 。
解密操作
样本下载
第三阶段加密文件 favicon.svg 被解密后，会下载第四阶段的样本。
解密样本示例
样本下载
这些样本也是部署在 palau.voipstelecom.com.au上的云计算 ，被命名为 Sevntx64.exe与 Sevntx.lnk 。
第四阶段恶意样本执行时 ，会加载一个长为 66kb 的 Shellcode 程序 。该程序名为 Sevntx64.exe ，是 AsyncRAT 家族的恶意程序 ，模板下载且与 Sihost.exe使用相同的证书进行签名。
加载 Shellcode
第五阶段感染链的最后 ，攻击者部署 AsyncRAT 远控木马（aba9b566dc23169414cb6927ab5368b590529202df41bfd5dded9f7e62b91479） 。木马与 palau.voipstelecom.com.au 的 443 端口进行 C&C 通信 。
AsyncRAT 配置信息
回溯研究人员也发现了恶意软件的早期版本 ：
相关文章
数据威胁检测和响应技术Data Detection and Response,DDR）是新一代的数据泄露防护方法，引入了动态监控的概念，可以在包括云在内的各种数字化环境中实现对数据的实时安全监测和响应2025-12-07
无尽安全 无惧未来 | Fortinet ACCELERATE 2022即将登录中国
Fortinet最盛大的全球安全峰会之— ——Fortinet ACCELERATE 2022 已经拉开帷幕，全面覆盖全球数十万家企业客户，峰会聚焦网络与安全融合、零信任、网络安全网格架构等前沿话题，2025-12-07
你的远程员工真是他自己吗？FBI披露求职者滥用Deepfake
在 Deepfake 的世界，真真假假，有时的确难以区分。AI 算法「Deepfake」可以生成各种有关人物的逼真图像和视频，在换脸领域已经有了广泛的应用。不过，AI 换脸技术引发的争议不断，比如利用2025-12-07
研究人员发现，在最近的一次攻击中，勒索软件领域的一个新成员利用了一个14年前的恶意软件变体来帮助它在一个目标网络上来进行维持权限。安全咨询公司NCC集团的研究人员在本周发表的一篇博文中写道，Black2025-12-07
此类攻击针对的是网站以及网络在线平台中无处不在的账户创建过程，攻击者能够在毫无防备的受害者于目标服务中创建账户之前执行一系列的行为。此项研究是由个人安全研究员Avinash Sudhodanan与微软2025-12-07
Amazon Photos爆安全漏洞，Amazon确认已修复。Checkmarx研究人员发现由于Amazon Photos APP中一个组件的错误配置引发了一个安全漏洞，使得manifest文件可以在2025-12-07
最新评论