特洛伊木马通过虚假 Chrome 网站针对中国 Windows 用户

据观察，名为 Gh0st RAT 的远程访问木马是由一个名为 Gh0stGambit 的“规避投放器”提供的，作为针对讲中文的 Windows 用户的偷渡式下载计划的一部分。

这些感染源于一个虚假网站（“chrome-web[.]com“），提供伪装成 Google 的 Chrome 浏览器的恶意安装程序包，表明在网络上搜索该软件的用户被挑出来。

Gh0st RAT 是一种长期存在的恶意软件，自 2008 年以来一直在野外观察到，多年来在主要由中国关系网络间谍组织策划的活动中以不同的变体形式表现出来。

该特洛伊木马的一些迭代以前也通过渗透安全性较差的MS SQL服务器实例进行部署，将其用作安装隐藏开源rootkit的管道。

据发现最新活动的网络安全公司eSentire称，针对中文用户的目标是基于“使用中文网络诱饵和针对恶意软件窃取数据和逃避防御的中文应用程序”。

从虚假网站下载的 MSI 安装程序包含两个文件，一个合法的 Chrome 设置可执行文件和一个恶意安装程序（“WindowsProgram.msi”），后者用于启动负责加载 Gh0stGambit 的 shellcode。

反过来，滴管会检查是否存在安全软件（例如，360 Safe Guard 和 Microsoft Defender Antivirus），然后再与命令和控制 （C2） 服务器建立联系，以检索 Gh0st RAT。

“Gh0st RAT 是用 C++ 编写的，具有许多功能，包括终止进程、删除文件、捕获音频和屏幕截图、远程命令执行、键盘记录、数据泄露、通过 rootkit 功能隐藏注册表、文件和目录，等等，”eSentire 说。

它还能够删除 Mimikatz、在受感染的主机上启用 RDP、访问与腾讯 QQ 关联的帐户标识符、清除 Windows 事件日志以及从 360 安全浏览器、QQ 浏览器和搜狗浏览器中删除数据。

这家加拿大公司表示，该工件份额与AhnLab安全情报中心（ASEC）以HiddenGh0st绰号追踪的Gh0st RAT变体重叠。

“在过去的几年里，Gh0st RAT已经被APT和犯罪集团广泛使用和修改，”eSentire 说。“最近的调查结果突出了这种威胁通过偷渡式下载进行分发，欺骗用户从欺骗性网站下载恶意Chrome安装程序。”

“偷渡式下载的持续成功加强了对持续安全培训和意识计划的需求。”

博通旗下的赛门铁克表示，它观察到网络钓鱼活动有所增加，可能利用大型语言模型（LLM）来生成用于下载多个加载程序和窃取程序的恶意PowerShell和HTML代码。

安全研究人员Nguyen Hoang Giang和Yi Helen Zhang说，这些电子邮件包含“用于下载各种有效载荷的代码，包括Rhadamanthys，NetSupport RAT，CleanUpLoader（扫帚，牡蛎），ModiLoader（DBatLoader），LokiBot和Dunihi（H-Worm）。“对这些攻击中用于传递恶意软件的脚本的分析表明，它们是使用 LLM 生成的。”

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：特洛伊木马通过虚假 Chrome 网站针对中国 Windows 用户