情报背景随着安全产品对钓鱼网站的检测能力日益提高,邮件安全网关已经检测和阻止大部分携带传播钓鱼网站的钓鱼邮件。然而道高一尺魔高一丈,防御策略的改进也迫使专门从事网络钓鱼的威胁行为者不断改进他们的技战术...
攻击技术研判 | 利用WIFI对抗虚拟机分析
情报背景近期,Perception Point发现了一起复杂的网络钓鱼攻击事件,该钓鱼攻击中使用了Doenerium恶意软件进行数字货币窃取和信息窃取,该恶意软件中使用了一个较为罕见的反虚拟机技术:利...
笔记-蓝队分析
分析免责声明本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关.分析工具相关工具fireeye/capaYaraYARA 是一款旨在帮助恶意软件研究人员...
攻击技术研判 | 典型BYOVD利用与Ring0防御削弱技术研判
情报背景近期来自ESET与AhnLab的研究人员发布了关于Lazarus攻击团伙恶意Rootkit的分析报告,在两个攻击链中利用了不同的合法驱动突破防御,在Ring0级完成一系列防御削弱操作,最终加载...
攻击技术研判 | Linux动态链接库持久化新方式
情报背景近期,INTEZER发现了一种新的Linux病毒,该病毒在发现之初在virustotal上检测率为0。该病毒使用.so文件作为payload,使用多种持久化方式,其中有一种持久化方式实现简单且...
攻击技术研判 | ADFS任意账户登录后门技术分析
情报背景近期,微软发现并公布了 Nobelium APT 组织在获得 Active Directory 联合服务 (AD FS) 服务器的管理权限后使用的后门 MagicWeb。MagicWeb 通过...
攻击技术研判 | 改进的反虚拟机反调试技术
情报背景GuLoader于去年3月底被首次发现,2022年再次出现。攻击者在新的变种中改进了其反调试与反虚拟机技术,很大程度上增加了分析难度,本文将就其中出现的防御规避技术进行分析研判。组织名称GuL...
攻击技术研判 | Symbiote共生体-利用eBPF技术的高隐匿Rootkit
情报背景Symbiote意为“共生体”,区别于一般的恶意程序,Symbiote没有独立的二进制,而是以共享库so文件的形式寄生于受感染的进程中。作为一个用户态Rootkit,Symbiote从文件、进...
攻击技术研判 | 利用Media player函数代替AutoOpen自动执行宏代码
攻击背景近期ASEC团队发现了模仿AhnLab安全通知的钓鱼攻击,其中一个钓鱼文档在攻击中使用了Windows Media Player相关函数触发自动执行VBA宏恶意代码。本文将对该利用手法进行分析...
攻击技术研判 | CVE-2022-30190 在野利用研判
情报背景近期安全研究员nao_sec发现了一份由白俄罗斯IP提交到VirusTotal平台的恶意Word文档,该文档利用Windows中的0day漏洞进行攻击,并最终在目标机器上远程执行恶意代码,一时...
攻击技术研判 | 挂钩NT函数劫持LoadLibrary执行恶意载荷
情报背景继Bumblebee通过使用ISO内组合恶意LNK+DLL的方式进行网络钓鱼活动被曝光之后,研究人员对落地的DLL文件进行了深入分析,原文中对恶意软件防御规避的技术部分做了重点分析,并指出Bu...
攻击技术研判|具备自组织能力的跨平台恶意程序
情报背景ALPHV是首次发现于2021年11月的勒索软件团伙,也是唯一使用Rust作为主要开发语言的活跃勒索软件。该团伙充分利用了Rust语言的跨平台特性,使其载荷支持包括Windows、...
2