新型Windows惡意軟體正在針對Linux、macOS裝置

Editor發表於2020-12-16

近期,研究人員在追蹤調查一個名為AridViper的黑客組織(也稱為Desert Falcon或APT-C-23)時,發現了一款名為PyMICROPSIA的新型木馬,可能會被用來感染執行Linux和macOS系統的電腦。


根據卡巴斯基全球研究和分析小組稱,這個阿拉伯黑客組織的攻擊目標主要集中在中東地區,如巴勒斯坦、印度、土耳其等國家,從2011年開始活躍,截止2015年,他們已經攻擊了超過3000次。


PyMICROPSIA


PyMICROPSIA惡意軟體基於Pytho寫成,攻擊目標專門針對由PyInstaller生成Windows二進位制檔案的Windows系統。但研究人員發現其程式碼中包含一些有趣的片段,用於檢查其他作業系統,如“POSIX”或“達爾文”。


圖片


當然,也有可能是由惡意軟體的開發人員在從其他“專案”複製貼上程式碼時引入的,並且很可能在PyMICROPSIA木馬的未來版本中被刪除。


圖片


研究人員從攻擊者的C2伺服器下載的惡意樣本分析中發現,這款惡意軟體有一長串功能,包括資料竊取、裝置控制和附加有效載荷傳遞功能。功能的完整列表包括但不限於:


檔案上傳、有效載荷下載和執行、偷盜瀏覽器憑證、清除瀏覽歷史記錄和配置檔案、拍截圖。鍵盤記錄、壓縮RAR檔案以獲取被盜資訊、收集過程資訊和銷燬過程、收集檔案列表資訊、刪除檔案、重啟機、收集Outlook.ost檔案、刪除和禁用Outlook程式、刪除、建立、壓縮和解壓縮檔案和資料夾、從USB驅動器中收集資訊,包括檔案外傳、錄音、執行命令。


PyMICROPSIA將Python庫用於多種用途,從資訊和檔案竊取到Windows程式、檔案系統和登錄檔互動。


使用GetAsyncKeyStateAPI實現的金鑰記錄功能是PyMICROPSIA從C2伺服器下載的單獨有效負載的一部分。下載的有效載荷還用於通過刪除受損害計算機Windows啟動資料夾中的.INK快捷方式來獲得永續性。


不過,PyMICROPSIA還會設定專門的登錄檔項,以便在系統重新啟動後重新啟動惡意軟體。


來源:bleepingcomputer


相關文章