专栏名称: 腾讯安全威胁情报中心
御见威胁情报中心,是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托顶尖安全专家团队支撑,帮助安全分析人员快速、准确对可疑事件进行预警、溯源分析。
目录
相关文章推荐
财宝宝  ·  看起来,我家婆姨好温油啊-202502082 ... ·  2 天前  
记忆承载3  ·  房地产价格与你的关系,远大于和地方的关系 ·  2 天前  
财宝宝  ·  回顾一下春节-20250207221212 ·  3 天前  
财宝宝  ·  如果还不起月供了怎么办? ... ·  3 天前  
51好读  ›  专栏  ›  腾讯安全威胁情报中心

情报速递20240516|“银狐”钓鱼团伙利用某安全软件管控功能进行攻击

腾讯安全威胁情报中心  · 公众号  ·  · 2024-05-16 10:06

正文

1.背景

腾讯安全科恩实验室 (以下简称“腾讯科恩”) 在对”银狐“钓鱼团伙进行跟踪时,发现该团伙近期开始将终端安全软件IP-**ard的计算机监控功能当作远控工具使用。IP-**ard是由广州市**科技股份有限公司开发的一款终端安全管理软件,可以帮助企业保护终端设备安全、数据安全、管理网络使用和简化IT系统管理。

经分析发现,该软件具有监控和管理企业内部系统的功能,但由于没有严格校验使用者身份,被攻击者加以利用从而对用户计算机进行远程控制。

由于此次攻击使用的程序属于公开发行的商业软件,相关程序文件具有合法的数字签名,并且已有一定的用户规模,杀毒软件已将相关程序模块置于信任名单中。攻击者可以用该软件进行灵活地打包后进行投放,使得钓鱼文件母体不具备固定特征,可能造成更多用户中招。科恩安全团队提醒广大用户不要轻易打开来历不明的程序,特别是文件后缀名为".exe"和".msi"的文件,谨防钓鱼攻击。也建议安全监控和管理软件厂商加强用户身份校验,以防相关功能模块被不法分子恶意利用。

2.捕获样本

科恩近日捕获到的相关样本如下,可以看出,钓鱼文件命名仍然以"XXX税务"、"XXX名单"、"XXX稽查"、"XXX补贴"、"XX社保"、"XX视频"等为主题。

md5

文件名

发现攻击时间

f973d027c38f073661b55446040b922d

setup_查看.exe

2024/5/9 13:19:12

47a1777e2d026af6c11c30a4c36fc07b

第二季5月份XXX局对当地企业随机抽查名单公示,查询密码:12366《请使用电脑版下载查看详情》.exe

2024/5/9 13:32:32

85d05927f7d79cfa5daa8d2f873a441f

第二季度2024最新涉税违规企业名单公示(电脑版).exe

2024/5/9 15:30:37

589b650477e61d5d7dfeadc0e0f64f5c

第二季度5月份XXX局对当地企业随机抽查名单公示,《请使用电脑版下载查看详情》.exe

2024/5/9 15:57:38

e486bb6c30697eac7aa7a3759c04a161

setup补贴名单.exe

2024/5/10 11:40:22

7983a792c957a604f51b319b934aeae7

抽查名单.exe

2024/5/11 3:14:47

8203e390e715ab9e30515b31f8414e20

名单系统.exe

2024/5/11 10:10:38

d0bad9ed97440fdf2e3239d31fc060b1

抽查名单.zip

2024/5/11 10:20:17

2ed30e716bd5f25778d3c5c1696225de

抽查名单.exe

2024/5/11 13:19:27

e5684f040027cedd128019214c3f501c

现场视频MP4.exe

2024/5/13 2:36:01

f79cc8bf06b6e516c9ad249c036dbfe8

最新涉税企业名单列表.exe

2024/5/13 8:03:04

839eb56530a06069211aca57ecd15141

名单目录.exe

2024/5/13 9:51:55

1bfaf60d0f7514403d19e3fe72577865

2024年财会人员薪资补贴调整新政策所需资料.exe

2024/5/13 9:53:33

2d821047ed755a65a44eba5f327527d3

查阅.exe

2024/5/13 10:14:47

ca08839fe709382f72a6a2b9a7a424c4

查阅.exe

2024/5/13 10:52:49

39768de5517bb5325d608fb1365b7ee6

稽查处罚企业名单.exe

2024/5/13 11:25:01

476d555e464b7e25a7d2ab984396fb93

稽查处罚企业名单.exe

2024/5/13 13:33:41

35984809e8dbcc1e4e5daa0f70b3cc3e

稽查处罚企业名单.exe

2024/5/13 14:57:28

111ce5181d8a4f8ab5316e61a733b4ea

名单目录.exe

2024/5/13 15:26:02

5bc5825a1019c1928c47fefa3f1d35e3

2024年缴纳社保调整如下.exe

2024/5/13 16:12:20

081e34ed3aad3a047946e483b4a0c632

企业社保调整(密码123).exe

2024/5/13 16:24:15

fbed6fec8f5732ffc3b74082c4b7a00d

查阅.exe

2024/5/14 8:41:20

ced1e556401047e6e9211f3ad488a362

稽查处罚企业名单.exe

2024/5/14 8:52:40

4f6f0b6e90f6b9d5efd48076de032494

公司社保调整如下.exe

2024/5/14 9:30:33

c7dd17c759810facc50ae7ab18d47a81

最新税企漏税稽查处罚通名单.exe

2024/5/14 9:40:51

7db6d17d649ed4de73fbb98f3e771941

2024年财会人员薪资补贴调整新政策所需资料.exe

2024/5/14 9:41:48

f918cb7f82db998fe82d69769f0ec204

查阅.exe

2024/5/14 10:09:08

9c72b89fd27600869355594c0b5fe360

setup详情.exe

2024/5/14 10:14:28

36aa071bf4bbeef113cd8e1532780b62

公示目录.exe

2024/5/14 10:20:57

5c7eba7a22ea70f96576a45e110c9ed9

2024年财会人员薪资补贴调整新政策所需资料.exe

2024/5/14 10:37:06

2601a59308127380906df393269277d8

原视频.exe

2024/5/14 10:59:24

7cdba18f6514e101cd2c338f667272e3

setup查看.exe

2024/5/14 11:09:52

de80a3b4f9764d2ab6e7d85a9629afe5

原视频.exe

2024/5/14 11:48:53

edaa7b84f4b95157952b5ea452d4cc59

漏税稽查处罚企业名单.exe

2024/5/14 13:38:34

05922d64a270bb09e421e045522819ac

2024新发布-财会人员薪资补贴调整新政策所需材料.exe

2024/5/14 15:57:35

02ede106f5ba9326a20b0dee33abff14

企业社保调整(密码123).exe

2024/5/15 9:55:33

f04be8430b5b562e365f48b1161d22b1

目录.exe

2024/5/15 12:07:15

eb66375288c930b2c9b7abb767172dd6

关于个人养老金有关个人所得税政策的公告.rar

2024/5/15 12:31:04


3.技术分析

攻击者将软件和相关依赖文件通过NSIS打包成安装包:
在安装过程中,通过安装脚本命令查找杀软进程并提示用户操作退出相关杀毒软件:

将用于远程控制的依赖文件释放到以下目录:

C:\Program Files (x86)\Common Files\System

C:\Windows\SysWow64\

C:\Windows\System32\

C:\Windows\

将远控程序添加到防火墙规则允许通过,然后通过ExecShell命令启动软件的OCular Agent远程控制模块winrdlv3.exe
(md5: 0cbeb75d3090054817ea4df0773afe35 )







请到「今天看啥」查看全文