黑客摆设复杂新型网络垂纶以创建长期体系后门

CRON#TRAP：模拟 Linux 情况是恶意软件攻击的最新本领

2. https://www.securonix.com/blog/crontrap-emulated-linux-environments-as-the-latest-tactic-in-malware-staging/

复制代码

CRON#TRAP 是一种新的网络垂纶攻击，它利用模拟的 Linux 情况来绕过安全步伐并创建长期后门。
利用 QEMU 和 Chisel，黑客可以得到机密访问权限来盗取数据并控制体系。
Securonix Threat Research 
发现了一个复杂的网络垂纶活动“CRON#TRAP”，它利用一种独特的方法分泌体系并创建长期后门。
这种创造性的攻击方法涉及在受感染的端点内摆设模拟的 Linux 情况，特别是 Tiny Core Linux。
CRON#TRAP的多阶段攻击流程
CRON#TRAP 活动接纳多阶段攻击方法来粉碎目的体系并创建长期后门。
初始感染媒介通常涉及包罗恶意 ZIP 和快捷方式文件（名为 OneAmerica Survey.zip 和 OneAmerica Survey.lnk）的网络垂纶电子邮件。

恶意附件通常会伪装成正当文档（比方观察或软件更新），以诱骗用户实行。

LNK（快捷方式）文件分析：下令和历程具体信息

start.bat的内容

诱饵图像伪装成服务器错误

Tiny Core Linux QEMU 实例
实行后，此快捷方式文件会下载大型 ZIP 存档，此中包罗模拟 Linux 情况所需的组件。
模拟 Linux 情况摆设
下载的存档包罗自界说 Linux 发行版（比方 Tiny Core Linux）和 QEMU 假造化工具。
批处理处罚文件“start.bat”体现服务器错误消息，表明服务器端观察链接存在标题。
该脚本实行 QEMU 历程和下令行以启动模拟 Linux 情况，为攻击者的活动创建埋伏情况。
explorer.exe 历程会实行 HTTPS 托管的图像，该图像会体现在用户的默认欣赏器中。
这允许攻击者进一步将该活动伪装成正当的体系举动，从而制止被发现。
攻击情况的安装
在模拟的 Linux 情况中，攻击者安装了一个预先设置的 Chisel 客户端。
这是一个隧道工具，可与远程下令和控制 (C&C) 服务器创建埋伏的通讯通道。
通过 Chisel 隧道工具，攻击者可以通过 HTTP 和 SSH 协议创建安全隧道。
该工具设置了特定的设置，比方目的 C＆C 服务器所在、端标语和加密参数，使其可以大概自动毗连到攻击者的根本办法。
Chisel 客户端在模拟的 Linux 情况中实行，每当体系启动或启动时都会激活后门。
这种安全的加密毗连使攻击者可以大概在受感染的体系和攻击者的根本办法之间传输数据和下令。
这种安全毗连允许攻击者实行恣意下令、下载恶意软件、盗取敏感数据、利用体系设置、走漏敏感数据、摆设长期性机制、修改注册表设置、创建筹划任务、安装rootkit以及传播到其他网络体系。
利用正当工具的规避技能
通过在正当假造化工具 QEMU 中伪装恶意活动，攻击者可以绕过传统的安全步伐并创建机密的驻足点。
别的，利用 Chisel 隧道工具可让攻击者保持长期访问并实行进一步的恶意操纵。
陈诉中写道：“攻击者对 QEMU 和 Chisel 等正当软件的依赖增长了额外的规避层面，由于这些工具在很多情况中不太大概触发警报。”
CRON#TRAP 活动突显了网络犯罪分子不停演变的计谋，包罗模拟情况和正当软件滥用。
这种方法允许攻击者得到对受感染体系的连续访问权限，这凸显了鉴戒可疑电子邮件的告急性。