IT之家 6 月 25 日消息,美运营商 AT&T 旗下的安全公司 LevelBlue 近日发布报告,曝光一款名为 SquidLoader 的木马,这款木马主要波及简体中文用户,黑客将相关木马打包成各种“产品介绍”文档,对不知情的受害者进行攻击

IT之家从报告中获悉,黑客设置一系列名为“华为工业级路由器的产品介绍及客户成功案例”、“黄河水利职业技术学院简章”等钓鱼文档,但实际上这些文档都是隐藏的可执行文件,据称如此命名主要是“吸引不知情的受害者上当”,一旦受害者打开“文档”,这些隐藏的可执行文件便会自动向黑客设置的远程服务器上的 URL 发出 Get HTTPS 请求,然后自动部署 SquidLoader 木马。

值得注意的是,这款木马据称具备高度反检测能力,为了让其看起来像正常的系统进程,黑客利用已经过期的合法证书蒙骗系统,同时文件中还混淆了大量来自微信、mingw-gcc 等应用的代码(实际无法正常执行)以防止安全公司检测,同时木马内置的部分功能函数含有 call 或 jmp 指令以指向另一个功能函数,从而导致安全公司的反编译工具出现解析错误。

此外,黑客也在代码中利用各种无意义的诱饵指令来欺骗研究人员,并通过堆栈的方式使用 XOR 密钥来加密特定字符串。此外,这些黑客也针对 Shell Code 相关的功能函数进行控制流图(Control Flow Graph,CFG)混淆处理,导致 CFG 被扁平化为带有大量 switch 字符串的无限循环,进一步防止安全公司检测。

据此,安全公司警告用户应当谨慎下载任何文档文件,以防止设备中关键内容外泄,安全公司同时警告,由于此类攻击技术 / 手法易于复制,未来很有可能被其他黑客开发者效仿。

友情提示

本站部分转载文章,皆来自互联网,仅供参考及分享,并不用于任何商业用途;版权归原作者所有,如涉及作品内容、版权和其他问题,请与本网联系,我们将在第一时间删除内容!

联系邮箱:1042463605@qq.com