Sihost

Protestai Honkonge trunka jau gana ilgą laiką, ir atrodo, kad Kinijos vyriausybė praranda kantrybę ir naudojasi naujoviškais metodais. Neseniai paaiškėjo, kad Pekinas pasitelkė grasinimo dalyvį protestuotojams Honkonge nukreipti. Nukreipti protestuotojai gaus el. Laišką, kuris yra maskuojamas kaip teisės studento iš Vakarų pranešimas. Pranešime užpuolikai apsimeta besidomintys protestais ir prašo gavėjo pateikti „rekomendacijas nutraukti Honkongo protestus“. Užpuolikai prie apgaulingo el. Laiško pridės tris failus - du tikrus ir vieną, kuris rodomas kaip „. RTF 'dokumentas, bet yra'. LNK 'byla. Maskuojant šį sugadintą failą kaip nekenksmingą dokumentą, naudojamas dvigubas plėtinys, gana senas, bet efektyvus triukas.

Naudojamas „.PNG“ failas, užmaskuotas kaip vaizdas

„. LNK bylos yra nuoroda, o šios Pekino kampanijos atveju -. LNK failas sukuria autentišką „msiexec.exe“ failą. „. Prie suklastoto el. Laiško pridėtas LNK failas turi vykdyti failą „msiexec.exe“ ir leisti jam atsisiųsti failą iš „GitHub“. Aptariama byla yra „. PNG 'vaizdas, tačiau jis veikia kaip vykdomasis failas. Šis vykdomasis failas naudojamas generuoti šimtus padirbtų failų. Tarp jų yra pradinė naudingoji apkrova, esanti „siHost64“.

Pajėgumai

% APPDATA% aplanke būtų „Python“ scenarijus pavadinimu 'siHost64.' Šis scenarijus skirtas:

• Įgykite patvarumą pažeisdami „Windows“ registrą.
• Užmegzkite ryšį su užpuolikų C&C („Command & Control“) serveriu, kuris veikia naudojant „DropBox“ API.
• Naudoja C&C serverį, norėdamas sugriebti failus, kuriuose yra užšifruotos komandos. Iššifravus komandas, grėsmė jas vykdys. Šių veiksmų rezultatai saugomi naujame užšifruotame faile. Grėsmė periodiškai panaikins failą C&C serveryje.

Iš esmės „Sihost“ grėsmė yra šnipinėjimo įrankis. Šis Trojos arklys leis jo operatoriams surinkti informaciją iš pažeisto kompiuterio ir perduoti jį užpuolikų serveriui.

Akivaizdu, kad „Sihost“ kenkėjiška programa nėra skirta atsitiktiniams vartotojams. Šios grėsmės infekcijų santykis yra labai mažas, o jos aukos, atrodo, yra Kinijos regione, todėl ekspertai manė, kad „Sihost Trojan“ buvo sukurtas išskirtinai Honkongo protestuotojams. Grėsmė yra labai išvystyta, ir akivaizdu, kad patyrę kibernetiniai nusikaltėliai sukūrė „Sihost“ užpakalinį troją.