網(wǎng)絡(luò)安全研究人員繪制了Jupyter的演變圖，Jupyter 是一個 .NET 信息竊取程序，以挑選醫(yī)療保健和教育行業(yè)而聞名，這使其在擊敗大多數(shù)端點安全掃描解決方案方面表現(xiàn)出色。
Morphisec于9月8日發(fā)現(xiàn)的新交付鏈，這強調(diào)該惡意軟件不僅繼續(xù)保持活躍，而且還展示了“威脅行為者如何繼續(xù)發(fā)展其攻擊以提高效率和規(guī)避檢測”。這家以色列公司表示，目前正在調(diào)查襲擊的規(guī)模和范圍。
Jupyter(又名Solarmarker)于2020年11月首次記錄，可能起源于俄羅斯，主要針對 Chromium、Firefox 和Chrome瀏覽器數(shù)據(jù)，并具有允許完整后門功能的附加功能，包括虹吸信息并將詳細(xì)信息上傳到遠(yuǎn)程的功能服務(wù)器并下載并執(zhí)行進一步的有效載荷。Morphisec收集的證據(jù)表明，從2020年5月開始，多個版本的Jupyter開始出現(xiàn)。
2021年8月，思科Talos將此次入侵歸咎于“相當(dāng)老練的行為者，主要專注于憑據(jù)和殘留信息盜竊”。
今年2月初，網(wǎng)絡(luò)安全公司 CrowdStrike將惡意軟件描述為打包了一個多階段、高度混淆的PowerShell加載程序，導(dǎo)致執(zhí)行 .NET編譯后門。
雖然以前的攻擊使用了Docx2Rtf和Expert PDF等知名軟件的合法二進制文件，但最新的攻擊鏈?zhǔn)褂昧肆硪粋€名為Nitro Pro的PDF應(yīng)用程序。攻擊從部署超過100MB的MSI安裝有效載荷開始，允許他們繞過防毒軟件引擎檢測，并使用第三方應(yīng)用程序打包向?qū)ХQ為高級安裝程序。
運行MSI有效載荷導(dǎo)致PowerShell加載程序嵌入到一個合法的Nitro Pro 13二進制文件中，其中兩個變體已被觀察到使用了屬于波蘭實際企業(yè)的有效證書簽名，這表明可能是證書模擬或盜竊。在最后階段，加載器解碼并運行內(nèi)存中的Jupyter . net模塊。
Morphisec研究員Nadav Lorber 說：“從我們在2020年首次發(fā)現(xiàn) Jupyter 信息竊取器/后門開始，它的演變證明了威脅行為者總是在創(chuàng)新的說法是正確的?！?“VirusTotal對這種攻擊的檢測仍然很低或沒有，這進一步表明威脅行為者逃避基于檢測的解決方案的設(shè)施?！?/p>
通過以上結(jié)論發(fā)現(xiàn)，惡意軟件滲入方式日益高明，它們可以輕易躲過傳統(tǒng)網(wǎng)絡(luò)安全產(chǎn)品的檢測和防御，進而感染并攻擊受害者的網(wǎng)絡(luò)系統(tǒng)。因此，為了確保網(wǎng)絡(luò)安全，提高軟件自身防御攻擊的能力是傳統(tǒng)防護手段的重要補充!在軟件開發(fā)過程中，使用靜態(tài)代碼檢測技術(shù)不斷查找并修復(fù)安全缺陷和漏洞，提高軟件自身安全性，可以筑牢網(wǎng)絡(luò)安全防御根基，提高網(wǎng)絡(luò)抵御惡意軟件攻擊的能力。Wukong(悟空)靜態(tài)代碼檢測工具，從源碼開始，為您的軟件安全保駕護航!
參讀鏈接：
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://www.ezyhdfw.cn/yun/121557.html
