WAV音訊檔案中隱藏惡意軟體

Editor發表於2019-10-17
音訊
WAV音訊檔案中隱藏惡意軟體


作為最常見的聲音檔案格式之一，WAV音訊檔案勝在能夠提供無損模式。

然而卻是最新的惡意軟體的藏身之處。


WAV音訊檔案暗藏後門



研究人員發現來自俄羅斯的Tuela黑客組織，正在進行一項祕密的攻擊活動，他們通過WAV音訊檔案將惡意後門安裝到受害者受感染的計算機上。

惡意WAV檔案可以通過多種方式傳遞，除了垃圾郵件之外，還可以偽裝成官方電子郵件的盜版內容進行網路下載，以此建立遠端訪問，祕密執行植入在音訊檔案中惡意內容。

在這次攻擊中發現了兩個有效載荷，包括Metasploit和XMRig，這也代表著受害者的裝置被用來執行加密劫持的同時還建立了命令和控制反向連線。

在使用者播放時，有些WAV格式的音樂並沒有明顯的質量問題或者毛刺，但部分檔案會產生白噪聲，沒有音樂內容。



三種解碼方式



此外，植入後門的WAV檔案使用三種不同的方法來解碼和執行惡意程式碼：

  • 使用最低有效位（LSB）隱寫術解碼並執行PE檔案
  • 那些使用基於rand（）的演算法來解碼和執行PE檔案
  • 以及採用基於rand（）的演算法解碼和執行shellcode


這次攻擊手段較為新穎，使用了與此前完全不同的WAV檔案，同時使用隱寫術以及其他編碼技術對程式碼進行模糊處理，使得底層程式碼僅在記憶體中顯示，能夠達到隱藏以避免檢測的效果。在這種情況下，攻擊者利用混淆視線來執行加密活動並立用於命令和控制的反向連線。

總體來說後果較為嚴重，因為任何攻擊者都可以使用類似的惡意工具和TTP。並且這只是攻擊的第一階段，不同的黑客可能使用相同的公開程式執行第二階段的攻擊。



* 本文由看雪編輯 LYA 編譯自Threat post，轉載請註明來源及作者。* 具體技術細節可參照此連結：

https://threatvector.cylance.com/en_us/home/malicious-payloads-hiding-beneath-the-wav.html

相關文章