网络间谍又添利器：新型远程访问木马Trochilus

研究人员发现了一场新型的网络间谍活动，它依赖于大量远程访问木马（Remote Access Trojan，RAT），包括新型强大的Trochilus（蜂鸟）木马，该木马背后的攻击者主要使用了恶意邮件作为攻击向量，邮件中包含了一个.RAR附件的恶意软件，并且它能够躲避沙箱分析。

利用多种木马的间谍活动Seven Pointed Dagger

近期，专家们发现了一场新的网络间谍活动，该活动名为七尖匕首（Seven Pointed Dagger），由一个名为“Group 27”的组织操纵。活动中使用了多种恶意软件，包括PlugX和9002远程访问木马（3102变种）。此外，他们还发现了一种名为Trochilus的新型远程访问木马，它能够躲避沙箱分析。报告中描述道：

在多次有针对性的网络间谍攻击活动中，都出现了该木马的踪迹。2015年中间，专家们首先发现了Group 27组织活动的痕迹，但Trochilus仅仅在2015年10月份在网络上活跃，当时网络罪犯使用它感染一个缅甸网站的访问者。这些网络罪犯们入侵了缅甸联邦选举委员会（UEC）的网站，从而专家们相信网络威胁者仍旧在监视这个国家的政治发展。

Trochilus木马功能

专家们获得了这些恶意软件的源头，包括一个README文件，里面详细列举了远程访问木马的基本功能。其功能包括：shellcode扩展、远程卸载、文件管理、下载并执行、上传并执行，以及访问系统信息。专家们说，这些恶意软件还具有“为了达到更具战略性的访问，能够进行目标内部漫游”的功能。这款恶意软件看起来很狡猾，它能够在受感染的系统内部漫游，而又不被病毒扫描雷达发现。另外，这款恶意软件又非常复杂，因为它只在内存中运行，而不使用磁盘操作，因此很难被检测到。报告中陈述道：

Trochilus远程访问木马背后的攻击者主要使用了恶意邮件作为攻击向量，邮件中包含了一个.RAR附件的恶意软件。

远程访问木马的发展前景预测

毫不怀疑，对于现代间谍活动来说，恶意软件绝对是一个特权工具。所以，我们将无意中协助推进远程访问木马数量的持续增长，并且可以预期到这些威胁将变得更加复杂和难以检测。

来源：freebuf.com