駭客利用影像隱藏惡意軟體、部署 VIP 鍵盤記錄器和 0bj3ctivity Stealer

根據HP Wolf Security 的2024 年第三季威脅洞察報告，網路犯罪分子正在將其隱密策略提升到一個新的水平，他們在圖像檔案中嵌入惡意程式碼，以傳播VIP Keylogger 和0bj3ctivity Stealer 等惡意軟體。複雜的活動利用了Archive.org 等可信任平台。

攻擊如何進行：隱藏在影像中的惡意軟體

這些活動首先是一封網路釣魚電子郵件，旨在欺騙受害者開啟惡意附件。這些電子郵件通常模仿發票或採購訂單以建立可信度。開啟後，附件會觸發利用過時的 Microsoft 公式編輯器漏洞 ( CVE-2017-11882 ) 來下載 VBScript 檔案。

攻擊鏈

1. 網路釣魚電子郵件：受害者會收到包含惡意附件的欺騙性電子郵件。
2. VBScript 執行：下載的 VBScript 執行 PowerShell 腳本。
3. 影像擷取：PowerShell 從 Archive.org 下載影像。
4. 惡意程式碼擷取：影像包含 Base64 編碼的惡意軟體，該惡意軟體被提取並解碼為 .NET 執行檔。
5. 有效負載交付：.NET 載入程式安裝最終的惡意軟體有效負載。

在第一個活動中，該有效負載是 VIP Keylogger，這是一種旨在捕獲擊鍵、剪貼簿內容、螢幕截圖和憑證的工具。在第二個活動中，有效負載是 0bj3ctivity Stealer，一種資訊竊取惡意軟體。

惡意軟體套件降低了攻擊者的障礙

這兩個活動之間的相似之處表明網路犯罪分子正在利用惡意軟體套件。這些工具包簡化了攻擊過程，減少了執行複雜感染鏈所需的技術專業知識。這一趨勢反映了網路犯罪日益商品化，其中預先建立的工具甚至使新手攻擊者也可以更輕鬆地部署惡意軟體。

使用中的附加技術

HP Wolf Security 也將 HTML 走私視為一種補充策略。在這種方法中，攻擊者使用隱藏在惡意 HTML 檔案中的 AutoIt 植入程式來傳播XWorm RAT等惡意軟體。據報道，其中一些文件是使用 GenAI 工俱生成的，展示瞭如何使用人工智慧來增強惡意軟體傳遞和混淆。

GitHub 活動帶來了 Lumma Stealer

另一項值得注意的活動涉及使用 GitHub 儲存庫，這些儲存庫冒充為視訊遊戲作弊和修改工具的來源。這些儲存庫透過基於 .NET 的植入程式秘密分發Lumma Stealer惡意軟體，凸顯了攻擊者如何利用流行平台來瞄準毫無戒心的用戶。

為什麼基於影像的攻擊具有威脅性

在圖像中嵌入惡意軟體是一種稱為隱寫術的技術，它將惡意程式碼隱藏在看似無害的檔案中。此方法繞過了許多不太可能檢查影像檔案的防毒系統。使用 Archive.org 等可信任託管平台使檢測工作更加複雜。

組織的緩解策略

為了防禦這些不斷變化的威脅，組織應實施以下措施：

1. 修補已知漏洞：解決過時的軟體漏洞，例如 CVE-2017-11882。
2. 啟用進階威脅偵測：使用能夠偵測隱寫術和可疑檔案行為的解決方案。
3. 教育員工：訓練員工辨識網路釣魚電子郵件並避免開啟意外附件。
4. 限制對受信任來源的存取：將文件共享平台的使用限制在核准的網域中。

網路犯罪日益商品化

隨著惡意軟體工具包變得越來越容易獲取，各種技能水平的攻擊者都可以組裝有效的感染鏈。人工智慧工具在惡意軟體創建中的整合進一步放大了網路安全防禦者面臨的挑戰，使攻擊更加多樣化且更難歸因。

HP Wolf Security 的調查結果強調了應對這些不斷變化的威脅的緊迫性。透過採用主動防禦策略和監控新興策略，組織可以更好地保護其網路免受這些複雜活動的影響。