Sihost

Οι διαδηλώσεις στο Χονγκ Κονγκ διαρκούν εδώ και αρκετό καιρό και η κινεζική κυβέρνηση φαίνεται να χάνει την υπομονή της και να καταφεύγει σε ορισμένες καινοτόμες τεχνικές. Πρόσφατα αποκαλύφθηκε ότι το Πεκίνο χρησιμοποίησε έναν απειλή για να στοχεύσει τους διαδηλωτές στο Χονγκ Κονγκ. Οι στοχευόμενοι διαδηλωτές θα λάβουν ένα μήνυμα ηλεκτρονικού ταχυδρομείου που καλύπτεται ως μήνυμα από φοιτητή του δικαίου από τη Δύση. Στο μήνυμα, οι επιτιθέμενοι προσποιούνται ότι ενδιαφέρονται για τις διαμαρτυρίες και ζητούν από τον παραλήπτη «συστάσεις για τον τερματισμό των διαμαρτυριών του Χονγκ Κονγκ». Οι επιτιθέμενοι θα επισύρουν τρία αρχεία στο δόλιο ηλεκτρονικό ταχυδρομείο - δύο αυθεντικά και ένα που εμφανίζεται ως '. RTF ", αλλά είναι ένα". LNK '. Η κάλυψη αυτού του κατεστραμμένου αρχείου ως αβλαβούς εγγράφου γίνεται με διπλή επέκταση, ένα παλιό αλλά αποτελεσματικό τέχνασμα.

Χρησιμοποιεί ένα αρχείο .PNG που αποκρύπτεται ως εικόνα

Ο '. Τα αρχεία του LNK χρησιμεύουν ως σύνδεσμος, και στην περίπτωση αυτής της εκστρατείας στο Πεκίνο, το '. Το αρχείο LNK οδηγεί σε ένα αρχείο msiexec.exe, το οποίο είναι αυθεντικό. Ο '. Το αρχείο LNK που είναι συνδεδεμένο με το ψεύτικο ηλεκτρονικό ταχυδρομείο πρέπει να εκτελέσει το αρχείο msiexec.exe και να το κατεβάσει από το GitHub. Το εν λόγω αρχείο φαίνεται να είναι '. PNG ", αλλά λειτουργεί ως εκτελέσιμο αρχείο. Αυτό το εκτελέσιμο αρχείο χρησιμοποιείται για τη δημιουργία εκατοντάδων ψευδών αρχείων. Μεταξύ αυτών είναι το αρχικό ωφέλιμο φορτίο που βρίσκεται στο 'siHost64'.

Δυνατότητες

Ο φάκελος% APPDATA% θα περιέχει ένα σενάριο Python που ονομάζεται 'siHost64'. Αυτό το σενάριο έχει ως στόχο:

• Αποκτήστε επιμονή παραβιάζοντας το μητρώο των Windows.
• Δημιουργήστε μια σύνδεση με το διακομιστή C & C (Command & Control) των εισβολέων, ο οποίος λειτουργεί με τη βοήθεια του API DropBox.
• Χρησιμοποιεί το διακομιστή C & C για να αρπάξει αρχεία που περιέχουν κρυπτογραφημένες εντολές. Με την αποκρυπτογράφηση των εντολών, η απειλή θα τις εκτελέσει. Τα αποτελέσματα αυτών των ενεργειών αποθηκεύονται σε ένα νέο κρυπτογραφημένο αρχείο. Η απειλή θα απομακρύνει το αρχείο στο διακομιστή C & C περιοδικά.

Στην ουσία, η απειλή Sihost είναι ένα εργαλείο για την κατασκοπία. Αυτός ο Trojan backdoor θα επιτρέψει στους χειριστές του να συλλέξουν πληροφορίες από τον συμβιβασμένο κεντρικό υπολογιστή και να τον μεταφέρουν στον διακομιστή των εισβολέων.

Είναι σαφές ότι το λογισμικό κακόβουλου λογισμικού Sihost δεν προορίζεται να στοχεύσει τυχαίους χρήστες. Αυτή η απειλή έχει πολύ χαμηλή αναλογία λοίμωξης και τα θύματά της φαίνεται να βρίσκονται στην κινεζική περιοχή, γεγονός που οδήγησε τους ειδικούς να πιστεύουν ότι ο Trojan Trojan έχει αναπτυχθεί για να στοχεύσει αποκλειστικά τους διαδηλωτές Honk Kong. Η απειλή είναι πολύ καλά ανεπτυγμένη και είναι σαφές ότι οι έμπειροι κυβερνοεγκληματίες έχουν δημιουργήσει τον Trojan backdoor Troost.