Qbot惡意軟件在針對企業的新攻擊中重新出現

admin

Qbot惡意軟件在針對企業的新攻擊中重新出現

這種新的、持久且難以檢測的Qbot版本旨在竊取財務信息。
十年前的Qbot金融惡意軟件在針對迄今已感染數千個系統的企業的新攻擊中重新出現了一個改進版本。數據安全解決方案提供商Varonis的研究人員在一位客戶通知他們計算機上的可疑活動后發現了這一攻擊。罪魁禍首是一種新型qbot病毒的感染，這種病毒也被稱為qakbot，正試圖傳播到網絡上的其他系統。
Qbot是過去十年中最成功的惡意軟件家族之一，部分原因是它的源代碼對網絡犯罪分子是可用的，因此可以很容易地修改和擴展。這個惡意程序最初是一個用來竊取網上銀行憑證的特洛伊木馬程序，但在過去幾年中得到了許多改進。
有趣的是，Qbot是一種半多態的威脅，因為它的命令和控制服務器定期對代碼和配置進行重新加擾，以避免基于簽名的防病毒檢測。這種威脅還具有類似蠕蟲的功能，允許它通過暴力強制Windows域憑據在企業網絡中橫向移動。
新的Qbot攻擊如何工作
在Varonis調查的攻擊中，最初的安裝程序或“Dropper”很可能以電子郵件附件的形式發送，擴展名為.doc.vbs。vbs是Windows本機支持的腳本語言。
如果執行，惡意腳本將使用Windows Bitsadmin命令行工具從命令和控制服務器下載Qbot加載器。以前的Qbot版本使用了PowerShell，但由于PowerShell已成為常見的惡意軟件傳遞方法，因此它的使用在企業系統上受到密切監控。”執行核心惡意軟件的加載程序有多個版本，即使在執行之后也會不斷更新，”Varonis的研究人員在他們的報告中說。
受害者收到的版本取決于vbs文件中硬編碼的參數，因此針對不同類型的用戶和組織可能會有不同的電子郵件活動。此外，Varonis還發現加載程序使用8個不同的代碼簽名證書進行了數字簽名，這些證書很可能是從不同實體竊取的。
如果一個文件是數字簽名的，這并不意味著它不是惡意的，就像一個網站使用HTTPS一樣，這并不意味著它沒有托管惡意軟件或釣魚網頁。然而，數字簽名的文件在Windows中觸發的警告不那么可怕，并且有時被配置不好的端點安全代理或文件白名單解決方案自動信任。
安裝后，Qbot將創建計劃任務，并將條目添加到系統注冊表以實現持久性。然后，惡意軟件開始記錄用戶鍵入的所有擊鍵，竊取瀏覽器中保存的憑據和身份驗證cookie，并將惡意代碼注入其他進程以搜索和竊取與財務相關的文本字符串。
Varonis訪問了攻擊者使用的一個命令和控制服務器，并找到顯示2726個唯一受害者IP地址的日志。在美國有1700多人，但在加拿大、英國、德國、法國、巴西、南非、印度、中國和俄羅斯也發現了受害者。
由于一個組織內的計算機通常通過一個共享的IP地址訪問因特網，研究人員認為，單個受感染系統的數量要大得多。此外，日志顯示，許多被破壞的系統安裝了來自不同供應商的防病毒程序，再次突出了Qbot規避防病毒檢測的能力。