澳大利亚通信公司失陷，被利用分发恶意样本
我要评论
近日 ，利亚微软披露 Microsoft Office 存在远程代码执行漏洞 CVE-2022-30190。通信Avast 的公司研究人员发现澳大利亚通信公司 VOIPS Telecom 帕劳分公司已经被攻陷 ，用于分发恶意软件 。失陷受害者打开恶意文档后 ，被利本将会通过恶意网站下载并执行恶意软件 。用分意样
复杂攻击攻击分为多个阶段 ，发恶相对复杂 。利亚攻击者使用 LOLBAS（Living off the Land Binaries And Scripts）技术 ，建站模板通信利用 CVE-2022-30190 漏洞恶意代码 ，公司无需将可执行文件落地 ，失陷尽量降低端点检出可执行文件的被利本可能性 。为了最大限度保持隐蔽，用分意样攻击者在多个阶段中都使用了合法签名。发恶
第一阶段失陷的利亚网站上部署了一个名为 robots.txt的可执行文件 ，香港云服务器这样在日志中即使被发现也能够尽可能不引起管理人员的注意 。调用微软支持诊断工具程序（msdt.exe），下载 robots.txt并保存为 Sihost.exe ，最后执行恶意程序 。
下载文件
网络流量
解码命令
第二阶段当 msdt.exe 执行 Sihost.exe 时 ，样本会下载第二阶段的 Loader（b63fbf80351b3480c62a6a5158334ec8e91fecd057f6c19e4b4dd3febaa9d447）。下载的亿华云 Loader 用于下载和解密第三阶段的恶意文件 ，该文件为也在相同 Web 服务器上部署的加密文件 favicon.svg 。
解密操作
样本下载
第三阶段加密文件 favicon.svg 被解密后 ，会下载第四阶段的样本。
解密样本示例
样本下载
这些样本也是部署在 palau.voipstelecom.com.au上的高防服务器 ，被命名为 Sevntx64.exe与 Sevntx.lnk。
第四阶段恶意样本执行时 ，会加载一个长为 66kb 的 Shellcode 程序 。该程序名为 Sevntx64.exe ，是 AsyncRAT 家族的恶意程序 ，源码下载且与 Sihost.exe使用相同的证书进行签名 。
加载 Shellcode
第五阶段感染链的最后 ，攻击者部署 AsyncRAT 远控木马（aba9b566dc23169414cb6927ab5368b590529202df41bfd5dded9f7e62b91479）。木马与 palau.voipstelecom.com.au 的 443 端口进行 C&C 通信。
AsyncRAT 配置信息
回溯研究人员也发现了恶意软件的早期版本 ：
相关文章
QakBot 被摧毁后，DarkGate 与 PikaBot 接棒传播恶意软件
今年 9 月开始传播的 DarkGate 恶意软件已经发展成为世界上最先进的网络钓鱼攻击行动之一。从那时起，DarkGate 就不断完善检测规避策略与各种反分析技术。DarkGate 与 PikaBo2025-12-07
在开发.NET应用程序时，安全性是一个至关重要的考虑因素。从保护用户数据到防止恶意攻击，每个应用程序都需要实施一系列的安全措施。本文将介绍一些关键的.NET应用程序安全性最佳实践，并提供相应的例子代码2025-12-07
Forescout报告显示：物联网漏洞激增，成为黑客攻击的关键切入点
根据 Forescout 最新发布的《2024 年最危险的联网设备》报告显示，与一年前相比，含有漏洞的物联网IoT）设备激增了 136%。此次研究人员分析了近1900万台设备的数据，发现存在漏洞的物联2025-12-07
黑客可通过Unsaflok 漏洞获取数百万家酒店房门“万能钥匙”
近日，研究人员了披露了一个有关 Saflok 电子 RFID 锁的安全漏洞，而全球安装了该电子锁的酒店及住宅中有约 300 万套。通过该漏洞，伪造一对房卡就能轻松打开酒店、住宅的任何一扇门。2022年2025-12-07
什么是云原生？“云原生”Cloud Native）是指一种专门为云环境设计的应用开发模式。云原生的核心理念是将应用程序设计为微服务架构，通过容器化技术进行封装，并利用云基础设施的弹性、可伸缩性、自动化2025-12-07
GitHub 轮换密钥，以减轻 CVE-2024-0200 漏洞带来的影响
Bleeping Computer 网站披露，GitHub 轮换了 12 月份修补的漏洞可能泄露的密钥，漏洞被追踪为 CVE-2024-0200，不仅允许威胁攻击者在未打补丁的服务器上远程执行代码，还2025-12-07
最新评论