首页
产品中心
服务项目
媒体报道
产品中心
新闻资讯
人才招聘
联系我们

让梦想从这里开始

因为有了梦想,我们才能拥有奋斗的目标,而这些目标凝结成希望的萌芽,在汗水与泪水浇灌下,绽放成功之花。

媒体报道

你的位置:百姓彩票 > 媒体报道 > Snake 键盘记录器可以通过恶意的 PDF 文件传播

Snake 键盘记录器可以通过恶意的 PDF 文件传播

发布日期:2022-06-11 21:15    点击次数:67

研究人员发现,虽然大多数恶意电子邮件活动都会使用 Word 文档来隐藏和传播恶意软件,但在最近发现的一个攻击活动中攻击者使用了一个恶意的 PDF 文件和一个很多年前的 Office 漏洞来传播 Snake Keylogger 恶意软件。

据周五发表的一篇博客文章称,惠普 Wolf 安全公司的研究人员发现了这一攻击活动,该活动使用了一个 PDF 附件文件来欺骗受害者,谎称文件内有关于汇款的信息。然而,它实际是加载了窃取信息的恶意软件,并且还使用了一些规避战术来避免被杀毒软件发现。

惠普的 wolf 安全团队研究员在这篇文章中写道,虽然现在 Office 格式仍然很流行,但这一攻击活动表明攻击者也在使用武器化的 PDF 文件来感染系统。

Schlapfer 说,的确,在过去十年中,使用恶意电子邮件进行攻击的攻击者更喜欢将恶意软件打包成微软的 Office 文件格式,特别是 Word 和 Excel。据研究人员称,仅在 2022 年第一季度,惠普的 wolf 安全公司所阻止的恶意软件中有近一半(45%)使用的是 Office 格式。

他写道,原因很明显,用户非常熟悉这些文件类型,有很多能够直接打开它们的应用程序,并且它们也非常适合用作社会工程学攻击的诱饵。

不过,研究人员还发现,虽然新的攻击活动确实在文件诱饵中使用了 PDF 文件,但它后来还是采用了微软的 Word 来触发最终的有效载荷 --Snake Keylogger。据 Fortinet 称,Snake Keylogger 是一种使用 .NET 开发的恶意软件,首次出现在 2020 年底,该软件可以从受害者的设备中窃取敏感信息,包括保存的凭证、受害者的击键内容、受害者的屏幕截图以及剪贴板内的数据。

不同寻常的攻击活动

HPW Wolf 安全团队在 3 月 23 日注意到了一个新的基于 PDF 的威胁攻击活动,它有一个 非常不寻常的感染链,不仅使用了一个 PDF 文件,还使用了几个逃避检测的技巧,如嵌入恶意文件,加载远程托管的漏洞以及 shellcode 加密。

攻击者针对受害者发送电子邮件,其中就包括了一个名为 "REMMITANCE INVOICE.pdf " 的 PDF 文件作为附件。研究人员发现,如果有人打开该文件,Adobe Reader 会提示用户打开一个名字非常古怪的 .docx 文件。

该帖子称,攻击者会偷偷地将 Word 文件命名为 " has been verified. However PDF, Jpeg, xlsx, .docx",这样会使文件名看起来像是 Adobe Reader 提示语中的一部分。

研究人员发现,.docx 文件作为一个嵌入式文件对象存储在 PDF 中,如果用户点击它就会打开 Microsoft Word。如果保护视图被禁用,Word 会从网络服务器下载一个富文本格式(.rtf)的文件。这是一个 Office Open XML 文件,然后在打开的文件内运行。

研究人员通过解压缩 .rtf 的内容,发现了一个隐藏在 "document.xml.rels " 文件中的 URL,他们说,这不是 Office 文档中的合法域名。

一个古老的漏洞被利用

当用户连接到这个 URL 就会导致网页重定向,然后下载一个名为 "f_document_shp.doc " 的 RTF 文档。该文件包含了两个格式错误的 OLE 对象,里面包含了利用 CVE-2017-11882 的 shellcode,研究人员说这是一个很久以前的远程代码执行漏洞(RCE),该漏洞出现在方程编辑器中。

方程编辑器是 Office 套件默认安装的应用程序,用于在微软 Word 文档中为对象链接和嵌入(OLE)项目插入以及编辑复杂的方程式。

然而,事实证明,攻击者在活动中利用的漏洞实际上是微软在四年多前 -- 确切地说,是 2017 年打了补丁,但实际上在那之前已经存在了约 17 年,该漏洞距现在已经有 22 年的历史了。

作为此次攻击最重要的部分,研究人员发现了存储在他们检查的一个 OLENativeStream 结构中的 shellcode。研究人员发现,该代码最终会解密一个密码文本,而这个密码文本原来就包含真正的 shellcode,在执行后会启动一个名为 fresh.exe 的可执行文件,并且该文件会加载 Snake Keylogger。



Powered by 百姓彩票 @2013-2022 RSS地图 HTML地图