新兴的跨平台BianLian勒索软件攻击正在提速
新兴跨平台BianLian勒索软件的运营商本月增加了他们的命令和控制(C2)基础设施,这一发展暗示着该组织的运营节奏正在提速。
使用Go编程语言编写的BianLian勒索软件于2022年7月中旬首次被发现,截至9月1日已声称有15个受害组织。
值得注意的是,这一新兴的双重勒索勒索软件家族与同名的Android银行木马没有联系,后者主要针对移动银行和加密货币应用程序窃取敏感信息。
安全研究人员Ben Armstrong、Lauren Pearce、Brad Pittack和Danny Quist介绍称,
“该勒索软件对受害者网络的初始访问是通过成功利用ProxyShell Microsoft Exchange Server漏洞实现的,利用它来删除web shell或ngrok有效负载以进行后续活动。BianLian还将SonicWall VPN设备作为攻击目标,这是勒索软件组织的另一个常见目标。”
与另一个名为“Agenda”的新Golang恶意软件不同,BianLian攻击者从初始访问到实施加密的停留时间最长可达6周,这一持续时间远高于2021年报告的15天入侵者停留时间的中值。
除了利用离地攻击(living-off-the-land,LotL)技术进行网络分析和横向移动外,该组织还部署定制植入物作为维持对网络的持久访问的替代手段。
据研究人员介绍,后门的主要目标是从远程服务器检索任意有效负载,将其加载到内存中,然后执行它们。
BianLian与Agenda类似,能够在Windows安全模式下启动服务器以执行其对文件加密恶意软件,同时不被系统上安装的安全解决方案检测到。
为消除安全障碍而采取的其他步骤包括删除卷影副本、清除备份以及通过Windows远程管理(WinRM)和PowerShell脚本运行其Golang加密器模块。
据报道,已知最早的与BianLian相关的C2服务器于2021年12月出现在网络上。但此后,该C2基础设施经历了“令人不安的扩张”,现已超过30个活跃IP地址。
网络安全公司Cyble在本月早些时候详细介绍了该勒索软件的作案手法,据Cyble称,该勒索软件的目标组织跨越多个行业,如媒体、银行、能源、制造、教育、医疗保健和专业服务等。而且大多数组织位于北美、英国和澳大利亚。
BianLian是网络犯罪分子继续使用跳跃战术(hopping tactics)以避免被发现的又一迹象。它还增加了使用Go作为基础语言的越来越多的威胁,使攻击者能够在单个代码库中进行快速更改,然后可以针对多个平台进行编译。
研究人员补充道,BianLian已经证明自身擅长使用离地攻击(LOtL)方法来横向移动,并根据他们在网络中遇到的防御能力来调整操作。
原文链接:
https://thehackernews.com/2022/09/researchers-detail-emerging-cross.html
相关文章
- 一医院遭到勒索软件攻击:黑客索要 6860 万
- airbase-ng实现Karma攻击
- 德国跨国汽车巨头大陆集团遭LockBit勒索软件组织攻击
- 作为网络工程师,你知道什么是VLAN 跳跃攻击吗?
- WiFi安全与攻击案例分析
- 新的0mega勒索软件针对企业进行双重勒索攻击
- 多米尼加共和国政府机构遭受勒索软件攻击
- PACMAN,一种针对Apple M1芯片的新攻击技术
- 苹果将推出新安全功能“封锁模式”,可保护设备免受间谍软件攻击
- 医疗技术巨头奥林巴斯遭BlackMatter勒索软件攻击
- Linux ARP攻击:隐藏危害引发安全警觉(linuxarp攻击)
- 美国司法部牵头成立StopRansomware.gov网站 遏制勒索软件攻击
- Linux服务器:防御与攻击的斗争(linux服务器安全攻防)
- 以色列启动系列活动 提高人们对勒索软件攻击风险的认识
- 微软建议勒索软件攻击受害者不要向黑客支付赎金
- 大多数勒索软件攻击发生在夜间或周末
- 硬核观察 #323 REvil:有史以来最大的一次全球勒索软件攻击
- 勒索软件攻击近百个国家 百万中国毕业生陷“肄业危机”
- Dridex木马如何进行重定向攻击?
- 如何减小DDoS攻击的发生率和破坏力?
- 警惕MySQL存储过程注入攻击(mysql存储过程注入)
- IP地址伪装攻击Oracle数据库(ip欺骗访问oracle)
- 使用Redis保护数据库不受热Key攻击(redis防止热key)
- xss防御之php利用httponly防xss攻击