最新恶意电子邮件活动瞄准意大利军工企业,旨在传播JRat远控木马

在最近几周里,Cybaze-Yoroi ZLab的研究人员发现,有人试图向意大利军工企业发送远程访问木马 。如果没有安装,它将通过一个硬编码的网址(hxxp://www[.thegoldfingerinc[.]com/images/jre.zip)进行下载 。Cybaze-Yoroi ZLab的研究人员表示,这很可能是一个被攻击者黑掉的第三方网站 。
JRE.zip文件包含的内容
下载JRE.zip文件之后,恶意程序会将其安装在受感染计算机上 。随后,恶意程序会在受感染计算机上添加一个“CurrentVersion\\Run”注册表项,以便在每次计算机重新启动之后都能够自动运行 。
恶意程序添加的注册表项
最终有效载荷JRat RAT分析
【最新恶意电子邮件活动瞄准意大利军工企业,旨在传播JRat远控木马】由带有变量名“duvet”的字符串隐藏的另一层代码包含一个名为“ longText ”变量被用于编码一个可执行JAR包 , 其中便包含了适用于多个平台(Win/macOS)的JRat远控木马(SHA256:9b2968eaeb219390a81215fc79cb78a5ccf0b41db13b3e416af619ed5982eb4a) 。
虽然它是一个全新的变种,但它仍具有典型的JRat远控木马代码结构 。
JRat远控木马的结构
虽然攻击者使用了Stajazk VPN服务来隐藏自己的真实位置,但一些IP地址对于Cybaze-Yoroi ZLab的研究人员来说是十分熟悉的,因为它们自2018年10月份以来就经常遭到滥用,以至于他们被研究人员发现只是时间早晚的问题 。
以上就是朝夕生活(www.30zx.com)关于“最新恶意电子邮件活动瞄准意大利军工企业,旨在传播JRat远控木马”的详细内容,希望对大家有所帮助!

猜你喜欢