圣诞快乐?
近日,亚信安全截获多起以“圣诞礼物”为钓鱼邮件的间谍木马病毒,名为RedLine。
RedLine通常是通过钓鱼邮件或挂马网站进行传播。钓鱼邮件更多的是利用社会工程学,“蹭热点”、节日祝福和节日福利是攻击者经常使用的社工手法。圣诞节来临,RedLine木马就使用了主题为“圣诞礼物”的钓鱼邮件发动攻击,其主要目的是窃取用户的浏览器、应用程序、加密货币钱包等敏感信息。为保护数据资产安全,建议用户提高警惕,预防间谍木马攻击。
RedLine是一款商业间谍木马,首次出现于2020年3月。其以恶意软件即服务(MaaS)的商业模式获利。该木马除了具有极高的隐蔽性、成熟的商业化模式以及窃取的数据价值高等特点外,还不断寻求更复杂的技术手段、更具针对性的攻击。因此,其已发展为危害网络数据资产的主要威胁之一。
【RedLine木马钓鱼攻击样例】
该木马运行后会释放winlogon.exe和svchost.exe两个恶意文件,其中winlogon.exe主要功能是窃密,svchost.exe则是设置木马自启动并收集环境信息。本文将对这两个恶意文件进行详细分析。
【RedLine木马攻击流程】
该木马使用.NET编写,在运行时会释放C:\Users\用户名\AppData\Roaming\winlogon.exe文件并执行,实现窃密主体行为并进行C2通信。
释放并执行伪装文件NetFlix Checker by xRisky v2.exe;释放并执行文件C:\Users\用户名\AppData\Roaming\svchost.exe,实现自启动以及主机信息查询功能。
释放的winlogon.exe是经过Eazfuscator混淆的.NET程序,负责窃取如下几类隐私数据。
收集终端安装的浏览器信息,并通过注册表键值StartMenuInternet获取系统默认浏览器
从Chrome和Opera浏览器窃取自动填充的数据,包括登录数据和地理位置等信息
窃取浏览器cookie
窃取账户信息
窃取浏览器自动填充数据
窃取信用卡信息
通过插件Geoplugin获取终端所在位置
当收集到终端信息时,会将信息以列表的方式进行存储
该木马在%APPData%目录中收集Armoury.wallet文件
使用相同手法窃取Atomic、Coinomi、Electrum、Guarda钱包信息
窃取Exodus钱包信息
该木马除了收集上述提到的终端所在地区信息外,还收集系统信息,包括主机环境信息、IP、国家、邮政编码以及文件信息等;其除了通过select命令检索会话 ID、名称和命令行外,还会通过select命令查询主机中的进程、磁盘驱动等信息;通过注册表SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion的ProductName和CSDVersion键值获取主机系统版本信息。
除此之外,其还会窃取如doc、dll、txt等常见文件格式的文件;还从%AppData%目录的\\FileZilla\\sitemanager.xml文件中提取帐户详细信息;并通过GetDirectories()以及GetFiles()函数获取到Program Files(x86)和ProgramData目录下的文件内容。
该木马将窃取到的信息通过HTTP协议发送到其C2服务器(C2域名被硬编码在木马样本中)。
通过设置计划任务实现自启动功能:/c schtasks /create /f /sc onlogon /rl highest /tn;通过设置注册表键值实现自启动功能。
该木马遍历系统进程查询ProcessHacker.exe、procexp.exe、ConfigSecurityPolicy.exe等安全工具类进程,为后续入侵做准备。
全面部署安全产品,保持相关组件及时更新
保持系统以及常见软件更新,对高危漏洞及时修补
不要点击来源不明的邮件、附件以及邮件中包含的链接
请到正规网站下载程序
采用高强度的密码,避免使用弱口令密码,并定期更换密码
尽量关闭不必要的端口及网络共享