Sihost

Protesty v Hongkongu již nějakou dobu trvají a zdá se, že čínská vláda ztrácí trpělivost a uchyluje se k některým inovativním technikám. Nedávno bylo odhaleno, že Peking zamířil proti demonstrantům v Hongkongu proti terorismu. Cíloví demonstranti obdrží e-mail, který je maskován jako zpráva od studenta práva ze Západu. Ve zprávě útočníci předstírají, že se zajímají o protesty, a žádají příjemce o „doporučení k ukončení protestů v Hongkongu“. Útočníci by k podvodnému e-mailu připojili tři soubory - dva skutečné a jeden, který se objeví jako '. RTF „dokument, ale je“. LNK 'soubor. Maskování tohoto poškozeného souboru jako neškodného dokumentu se provádí pomocí dvojité přípony, což je poměrně starý, ale účinný trik.

Jako obrázek používá soubor „.PNG“

The '. Soubory LNK „slouží jako odkaz av případě této pekingské kampaně“. Soubor LNK 'vede k souboru msiexec.exe, který je pravý. The '. Soubor LNK ', který je připojen k falešnému e-mailu, musí provést soubor' msiexec.exe 'a nechat jej stáhnout soubor z GitHubu. Zdá se, že dotyčný soubor je „. Obraz PNG, ale funguje jako spustitelný soubor. Tento spustitelný soubor se používá ke generování stovek falešných souborů. Mezi nimi je počáteční užitečné zatížení, které je umístěno v „siHost64“.

Schopnosti

Složka% APPDATA% bude obsahovat skript Python nazvaný 'siHost64.' Účelem tohoto skriptu je:

• Získejte vytrvalost manipulací s registrem Windows.
• Navažte spojení se serverem C&C (Command & Control) útočníků, který pracuje pomocí rozhraní DropBox API.
• Používá server C&C k uchopení souborů obsahujících šifrované příkazy. Po dešifrování příkazů je hrozba provede. Výsledky těchto akcí jsou uloženy v novém šifrovaném souboru. Hrozba bude pravidelně filtrovat soubor na server C&C.

Hrozba Sihost je ve své podstatě nástrojem pro špionáž. Tento backdoor Trojan umožní svým operátorům shromažďovat informace od ohroženého hostitele a přenášet je na server útočníků.

Je zřejmé, že malware Sihost nemá za cíl cílit na náhodné uživatele. Tato hrozba má velmi nízký poměr infekcí a zdá se, že její oběti jsou v čínské oblasti, což vedlo odborníky k přesvědčení, že Sihost Trojan byl vyvinut tak, aby se zaměřil výhradně na demonstranty Honk Kong. Hrozba je velmi dobře vyvinutá a je zřejmé, že zkušený kybernetičtí zločinci vytvořili zadní trojan Sihost.