分析发现,这些文件利用了较常用的白加黑攻击技巧。双击上图那个伪装成PDF的EXE文件,会触发恶意ShellCode,攻击者第半小时执行一次,尝试从C2服务器下载恶意文件到内存执行,攻击者采用域名前置技术(domain fronting)隐藏C2的真实IP。通过一系列复杂的操作,在受害者一次打开危险附件后,会安装功能强大的渗透测试工具Cobalt Strike到失陷系统,这是一个功能强大的远程控制软件,分析发现这个远程控制软件同样使用域名前置技术,从而增加了检测难度。
在终端系统配置腾讯零信任iOA的场景下,因管理员已配置多因子身份验证,即使攻击者在失陷系统安装远程控制木马,也难以冒用攻击者身份在内网横向扩散。因为在权限验证时,攻击者无法拿到相应的验证信息,比如微信扫码或动态口令验证。
腾讯零信任iOA通过集成的腾讯安全威胁情报能力,迅速检测出失陷主机有危险连接行为,已不符合设备可信条件,该设备被迅速隔离下线,已无法访问内网中其他任何资源,失陷威胁立刻中止。终端操作员在安全运维人员修复设备确保系统再次可信后恢复正常使用。
免责声明:
① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。
② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341