LegionLoader滥用Chrome扩展传播多种恶意软件
我要评论据gbhackers消息 ，滥用名为LegionLoader 的扩展恶意软件正通过Chrome 扩展分发窃密软件 ，包括对受害者实施电子邮件操纵 、传播跟踪浏览，多种甚至将受感染的恶意浏览器转变为攻击者的代理服务器 ，使其能够使用受害者的软件凭证浏览网页。
自 2024 年 8 月以来 ，滥用研究人员观察到LegionLoader 通过 Chrome 扩展程序分发各种窃取程序 ，建站模板扩展包括 LummaC2、传播Rhadamanthys 和 StealC ，多种这些程序利用偷渡式下载和 RapidShare 来分发托管在 MEGA 上的恶意有效载荷 。这种特殊的软件加载程序具有截屏 、管理加密货币账户和进行金融交易的滥用功能 。
LegionLoader 改进了侧载技术，扩展利用 steamerrorreporter64.exe 加载恶意 vstdlib_s64.dll ，传播取代了以前使用的香港云服务器 rnp.dll 和 rnpkeys.exe的方法。
恶意程序会提示用户进行交互 ，以规避沙箱分析，表明用户的 AppData\Roaming 文件夹中存在恶意组件，如 DLL 文件和依赖项 ，以实现持久化或逃避检测 。shellcode 最初是 Base64 编码 ，然后使用 RC4 算法进一步加密 ，亿华云该算法通过添加即时常量和从特定注册表键中检索值动态生成 ，其目的是通过使恶意有效载荷更难以理解和识别来阻碍分析和检测 。
RC4 密钥通过从注册表密钥中提取部分内容生成 ，最后一部分来自硬编码值的 CRC32 哈希值 ，然后用于解密 shellcode ，解密过程可能会使用 CyberChef ，使用 XTEA 算法对核心 LegionLoader 有效载荷进行解密 。 随后 ，源码库它利用进程镂空将解密后的有效载荷注入 explorer.exe 进程 ，并使用 CRC32 加密 API 调用 。
通过 CyberChef 解密 shellcode
LegionLoader 连接到硬编码的 C2 ，并接收使用静态密钥进行 Base64 编码和 RC4 加密的配置 。 在向 C2 服务器发送 GET 请求时通常向"/test_gate0117.php" ，并在 a 参数后附加一个随机生成的 16 个字符的字母数字字符串 。源码下载
恶意软件利用这种配置 ，可定义在受感染机器上执行恶意有效载荷的参数 。 据 Trac-Labs 称，参数包括用于指定执行次数 、加密状态 、有效载荷类型（DLL 、PowerShell） 、目标国家和执行后跟踪机制等选项 。
据悉 ，LegionLoader最早在2019年就已经出现 ，高防服务器因能投放多种不同的恶意软件来执行攻击而受到关注 。
相关文章
根据 Future Market Insights (FMI) 的一份新报告，工业网络安全市场预计将以 7.7% 的复合年增长率 (CAGR) 增长，从 2022 年的 207 亿美元增长到 2032025-12-07
近年来，勒索软件持续占据新闻头条。为了谋取利益，攻击者开始以各种类型的组织为目标——从医疗保健和教育机构到服务提供商和工业组织——几乎影响到我们生活的方方面面。2022年，卡巴斯基解决方案检测到超过72025-12-07
译者 | 刘涛审校 | 孙淑娟如今，网络安全正迅速成为各大组织关注的焦点。由于对数字化系统的依赖性越来越强，网络威胁对于各种规模的企业来说都是主要的挑战。网络攻击可能导致数据泄露、敏感信息被窃取、财产2025-12-07
据BleepingComputer 4月23日消息，网络安全公司 ESET的研究人员发现，在二手市场上售卖的一些企业级路由器中还存在未被擦除干净的敏感数据，能够被黑客用来破坏企业环境或获取客户信息。研2025-12-07
网络威胁并非一成不变，新型威胁攻击层出不穷，破坏性也越来越大，具体包括社会工程攻击、恶意软件、分布式拒绝服务DDoS）攻击、高级持续性威胁APT）、木马、内容擦除攻击和数据销毁等。据思科公司预测，202025-12-07
用来保护企业网络的传统工具在网络可见性和保护它们的能力方面造成了差距。正如之前所讨论的，企业网络已经变得原子化，意味着它们是分散的、短暂的、加密的和多样化的 (DEED)。这些 DEED 环境和我们2025-12-07
最新评论