针对InfoSec社区的恶意攻击活动

最近，Cyble 研究人员发现了一篇帖子，其中有人提到了 CVE-2022-26809 的概念证明 (PoC)。经过进一步调查，发现它是伪装成 Exploit 的恶意软件。同时还发现了另一个恶意样本，伪装成 CVE-2022-24500 的 PoC。这些样本都在GitHub上，有趣的是，两个存储库都属于同一个配置文件，这表明攻击者可能正在执行针对 Infosec 社区的恶意攻击活动。

图1和图2显示了在 GitHub 上托管的恶意软件。

图 1：CVE-2022-26809 Exploit

图 2：CVE-2022-24500 Exploit

在过去的 24 小时内，攻击者还在论坛上讨论了这些漏洞。例如，研究人员发现的一篇攻击者讨论 CVE-2022-24500 的帖子，它指向了伪造的 PoC GitHub 存储库，如图 3 所示。

图 3：攻击者在论坛上发帖

技术细节

该恶意软件是包含 ConfuserEX 的 .Net 二进制文件，ConfuserEX是一个免费的、开源的.NET应用程序保护程序。下图显示了文件的详细信息。

图 4：文件详细信息

该恶意软件没有任何针对上述漏洞的利用代码。相反，它会打印一条虚假消息，表明它正在尝试利用并执行 shellcode，如图 5 所示。

图 5：打印虚假信息

恶意软件使用Sleep() 函数在一个小的时间间隔后打印信息，以显得更加合法。图6显示了执行时打印假消息的恶意软件的代码片段。

图 6：解压的代码

打印假消息后，恶意软件使用 cmd.exe 执行隐藏的 PowerShell 命令来安装实际的payload。下图描述了与用于下载 Cobalt-Strike Beacon 的命令和控制服务器的通信。

图 7：通信

Cobalt-StrikeBeacon 可用于其他恶意活动，例如下载额外的payload、横向移动等。这一事实可能表明信息安全社区也是攻击者的目标。

结论

攻击者正在采用各种技术进行攻击。在这种情况下，见证了他们如何使用假PoC 来诱使目标执行恶意软件。通常，从事信息安全工作的人员或黑客会使用漏洞利用来检查漏洞，恶意软件可能仅针对该社区的人。因此，在下载任何PoC之前检查来源的可信度变得至关重要。

 

MITRE ATT&CK® 技术

战术	编号	名称
执行	T1204	用户执行
防御规避	T1140	去混淆/解码文件或信息
命令与控制	T1071	应用层协议

妥协指标 (IOC)

指标	类型	描述
192.10.22.112  45.197.132.72	IP	C2
7e0c8be0d03c75bbdc6fd286a796434a  0e2e0d26caa32840a720be7f67b49d45094861cb  6c676773700c1de750c3f8767dbce9106317396d66a004aabbdd29882435de	MD5 SHA-1   SHA-256	恶意二进制
fdcf0aad080452fa14df221e74cca7d0  7431846d707140783eea466225e872f8757533e3  fa78d114e4dfff90a3e4ba8c0a60f8aa95745c26cc4681340e4fda79234026fd	MD5 SHA-1   SHA-256	恶意二进制

 

 

原文链接：

https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/

原文始发于微信公众号（维他命安全）：针对InfoSec社区的恶意攻击活动