人們發(fā)現(xiàn)，一種新的網(wǎng)絡(luò)攻擊活動(dòng)正在使用 MSIX（一種 Windows 應(yīng)用程序打包格式）來感染 Windows PC，并通過將隱秘的惡意軟件加載程序放入受害者的 PC 中來逃避檢測。
Elastic Security Labs 的研究人員發(fā)現(xiàn)，開發(fā)人員通常使用 MSIX 來打包、分發(fā)和安裝其應(yīng)用程序給 Windows 用戶，并且現(xiàn)在被用于初始感染，以提供名為 Ghostpulse 的惡意軟件加載程序。
研究人員在博客文章中表示：在常見的攻擊場景中，我們懷疑用戶被引導(dǎo)通過受感染的網(wǎng)站、搜索引擎優(yōu)化 (SEO) 技術(shù)或惡意廣告下載惡意 MSIX 軟件包。
觀察到的偽裝主題包括 Chrome、Brave、Edge、Grammarly 和 WebEx 的安裝程序，其中重點(diǎn)介紹了一些。
只需“雙擊”即可通過 Windows 應(yīng)用安裝程序安裝 MSIX 包，而無需精心使用 PowerShell 等部署和配置工具。
惡意 MSIX 必須擁有購買或簽名的證書才能進(jìn)行可行的攻擊。
通過 DLL 旁加載進(jìn)行初始感染
感染是從一個(gè)可執(zhí)行文件開始的多個(gè)階段進(jìn)行的。
啟動(dòng) MSIX 文件會(huì)打開一個(gè)窗口，提示安裝操作，最終導(dǎo)致 Ghostpulse 的秘密下載。
在第一階段，安裝程序下載磁帶存檔 (TAR) 文件負(fù)載，該負(fù)載是一個(gè)偽裝成 Oracle VM VirtualBox 服務(wù) (VBoxSVC.exe) 的可執(zhí)行文件。
但實(shí)際上是與 Notepad++ (gup.exe) 捆綁在一起的合法二進(jìn)制文件，它很容易受到側(cè)面加載的影響。
PowerShell 執(zhí)行二進(jìn)制文件 VBoxSVC.exe，該文件將從當(dāng)前目錄加載惡意 DLL libcurl.dll。
通過最大限度地減少加密惡意代碼在磁盤上的占用空間，威脅行為者能夠逃避基于文件的 AV 和 ML 掃描。
Ghospulse 用作裝載機(jī)
根據(jù)該博客，Ghostpulse 采用 Process Doppelganging 并充當(dāng)加載程序，利用 NTFS 事務(wù)功能將最終有效負(fù)載注入新的子進(jìn)程中。
最終的惡意軟件包括各種信息竊取程序，例如 SectopRAT、Rhadamanthys、Vidar、Lumma 和 NetSupport RAT。
Ghostpulse 第三階段（最后一步）的目標(biāo)是在另一個(gè)進(jìn)程中加載??并執(zhí)行最終的有效負(fù)載。
第 3 階段的一個(gè)有趣的部分是，它用新指令覆蓋以前執(zhí)行的指令，從而使分析變得困難。
Ghostpulse 加載程序還能夠建立持久性。
更多分析點(diǎn)擊原文閱讀：GHOSTPULSE 使用防御規(guī)避技巧來困擾受害者
文章來源：http://www.zghlxwxcb.cn/news/detail-726570.html
Elastic Security Labs 揭示了利用防御規(guī)避功能通過惡意 MSIX 可執(zhí)行文件感染受害者的新活動(dòng)的詳細(xì)信息。文章來源地址http://www.zghlxwxcb.cn/news/detail-726570.html
到了這里，關(guān)于新惡意軟件使用 MSIX 軟件包來感染 Windows的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
