分享文章
曝光新黑產(chǎn)團伙“黑貓” 大規(guī)模仿冒網(wǎng)站竊幣挖礦疑與APT組織有關
軟件
2024-10-25 04:29
聲明：該文章來自（微步在線）版權由原作者所有，K2OS渲染引擎提供網(wǎng)頁加速服務。
當你在網(wǎng)上搜索“谷歌瀏覽器”時，下圖中的地址可能會排在某搜索引擎結果的第一名，但你可能想不到，這是個帶病毒的假官網(wǎng)！
點擊假官網(wǎng)，將下載一個帶有“后門”的安裝程序，運行程序后，后門將開始一系列網(wǎng)絡攻擊，包括：探測并竊取虛擬貨幣錢包，竊取瀏覽器信息，監(jiān)聽鍵盤等，如果你并未持有虛擬貨幣或者無法被竊幣，后門就會釋放挖礦木馬組件，榨干你的最后一點價值。
微步情報局研究發(fā)現(xiàn)，這波攻擊自7月底開始，累計仿冒網(wǎng)站達20余個，有數(shù)據(jù)可查的攻擊已有數(shù)十萬次，被攻擊行業(yè)領域極其廣泛，國家有關部門、高校和研究機構、汽車行業(yè)、央國企等多個領域均有大量受害單位。該攻擊團伙所使用的域名資產(chǎn)中含有大量“heimao-*(三位數(shù)字).com”特征域名，微步情報局據(jù)此將該團伙命名為“黑貓”。
（一）“黑貓”團伙畫像
“黑貓”最早于2022年開始活躍，通過仿冒釣魚網(wǎng)站投遞各類惡意樣本，包括“銀狐”遠控木馬、變種Gh0st木馬、竊密木馬、XMRig挖礦木馬等，受害目標為安全意識不足的機構/企業(yè)職員，通過遠控主機來盜取受害者的虛擬貨幣并挖礦?！昂谪垺钡哪矯2地址和今年上半年APT組織“金眼狗”所使用的遠控后門內(nèi)置的C2地址相同，這表明“黑貓”疑似和“金眼狗”具有一定關聯(lián)。
（二）“黑貓”常用的攻擊手法
“黑貓”的主要攻擊手法是通過部署和推廣虛假軟件下載頁面，進行竊密和盜竊虛擬貨幣、挖礦等攻擊行為?！昂谪垺蓖哆f的樣本復雜多樣，各種Gh0st魔改遠控，銀狐木馬，竊密軟件，XMRig挖礦木馬層出不窮，且更新速度很快，投遞的loader具備對各大殺軟的免殺技術、反虛擬機調(diào)試、反沙箱技術，因此攻擊成功率極高。
“黑貓”大范圍仿冒常見軟件的下載網(wǎng)站，并通過SEO（搜索引擎優(yōu)化）、SEM（搜索引擎競價排名）等各種手段提高在搜索引擎關鍵字排行，誘導受害者訪問釣魚頁面，并點擊下載帶有后門的安裝程序。
安裝程序被受害者運行后，后門程序會竊取受害者虛擬貨幣錢包，瀏覽器信息，監(jiān)聽鍵盤等。如果受害者不具備盜幣的可能，“黑貓”會釋放XMRig挖礦木馬組件進行挖礦。
（三）“黑貓”仿冒的常見軟件及下載地址
“黑貓”仿冒的常見軟件下載地址，高達20余個，囊括了常用辦公軟件、虛擬幣行情交易平臺、VPN/上網(wǎng)加速器等程序。需要警惕的是，“黑貓”具備極強的SEO（搜索引擎優(yōu)化）技術，不僅會仿冒網(wǎng)站，還會把仿冒網(wǎng)站的地址頂?shù)剿阉鹘Y果的首頁，甚至能常年保持在排名第一第二的位置，因此受害者極易中招。現(xiàn)將2024年“黑貓”仿冒的部分網(wǎng)站地址列表如下。
（四）處置建議
1.根據(jù)本文附錄IOC內(nèi)容進行自查，封禁相關惡意域名；
2.對已經(jīng)失陷的機器，及時隔離、清理，杜絕失陷機器外聯(lián)惡意域名可能帶來的監(jiān)管合規(guī)問題；
3.規(guī)范辦公軟件獲取途徑，收緊軟件安裝策略，禁止在辦公終端上采用非官方途徑進行下載安裝。
[超站]友情鏈接：
四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關注數(shù)據(jù)與安全，洞悉企業(yè)級服務市場：https://www.ijiandao.com/
排名
熱點
搜索指數(shù)
- 1 情暖天山氣象新 7904242
- 2 殲-35完成在福建艦上彈射起飛 7809432
- 3 中方回應“金正恩稱絕不放棄核武” 7713284
- 4 國慶中秋臨近 文旅部發(fā)出游提示 7616802
- 5 廣東或大范圍停工 7522684
- 6 3×8還是8×3？80后90后家長吵翻了 7428665
- 7 臺風“樺加沙”強度已達17級以上 7332088
- 8 臺風逼近 廣東：全面進入臨戰(zhàn)狀態(tài) 7233589
- 9 背簍老人等公交被拒載 司機被開除 7138069
- 10 廣東多地宣布五停 7044058
微信
新浪微博
