攻击技术研判｜具备自组织能力的跨平台恶意程序

01 攻击技术分析

亮点1：利用Rust跨平台与规避静态检测

利用Rust进行跨平台开发可通过代码复用减少开发成本，通过不同编译选项实现针对各平台的功能剪裁。ALPHV曾出现针对Windows与Linux的变体，本次攻击所出现的变体针对的ESXi平台进行了优化，将glibc等基础库打包在内，并添加了针对ESXi平台定制的功能（内部是对esxcli等工具命令的封装）。

图 针对ESXi的ALPHV变体

以Rust、Golang和Nimlang为代表的新兴语言为攻击者所青睐源于他们所具有共同优势：低开发成本、高运行效率、完全不同的静态特征，以及自带的跨平台特性。相对于开发运用与研究分析都较为成熟的C++程序，基于这些新兴语言所编译的可执行内部结构更加复杂，绕过了针对C++等通用语言设计的静态特征检测规则。相关分析工具适配也还未完善，加大了分析人员进行逆向分析的难度。

亮点2：多实例自组织协同工作

在本次攻击事件出现的ALPHV变体出现了独特的“自组织”能力，同一样本创建的进程实例能够通过启动的先后关系，以不同的角色协同工作。最先启动的实例将作为服务端，监听于61029端口，后续创建的进程实例则将作为客户端与服务端进行通信握手。服务端具备检查客户端存活、下达退出指令的权限，而客户端则可通过指定接口，将自身权限无法执行的任务上交给服务端执行。通过这种特殊机制，同一终端上执行的多个实例能够自发地组织起来，不同权限与执行方式的实例能够共享任务，提高总体的执行效率。