近日,研究人员发现一款伪装成可以发起DDoS攻击工具的恶意软件——虚假的Liberator,主要向IT网军进行推介,主要攻击目标是俄罗斯。作为一款类钓鱼软件,该恶意软件会安装密码和信息窃取木马。
恶意软件钓鱼攻击活动分析
从Liberator真实网站下载的版本是纯净的,但是需要授权才可以使用。而Telegram上传播的隐藏了恶意软件payload的Liberator与真实的Liberator在执行前是无法区分的。
Liberator真实网站
Telegram上推介虚假Liberator的帖子中说该工具中已经写入了从服务器中获取的俄罗斯目标列表,只需要简单安装和执行就可以对软件中内置的俄罗斯目标发起攻击。简单易用的目的可能是为了吸引支持乌克兰但又不懂技术的人们。
Telegram上推介虚假Liberator的帖子
信息窃取器
该恶意软件在受害者系统上执行前会首先执行反调试检查,然后执行进程注入在内存中加载Phoenix 信息窃取器。
2019年夏天,Phoenix信息窃取器在黑市出售,价格为每个月15美元或80美元终身有效。Phoenix可以从web浏览器、VPN工具、Discord、加密货币钱包中收集数据,并发送给一个IP为俄罗斯的远程服务器地址。
Phoenix收集的数据样本
安全建议
鉴于近期与俄罗斯和乌克兰冲突有关的钓鱼攻击和恶意软件频发,研究人员建议用户不要过度关注与俄罗斯和乌克兰冲突有关的帖子,尤其是不要安装相关工具攻击乌克兰和俄罗斯网络,不要点击邮箱中与俄罗斯和乌克兰冲突有关的邮件的链接,做好自身网络安全防护。
完整技术细节参见:https://blog.talosintelligence.com/2022/03/threat-advisory-cybercriminals.html。
本文翻译自:https://www.bleepingcomputer.com/news/security/malware-disguised-as-security-tool-targets-ukraines-it-army/如若转载,请注明原文地址。