<孟婆的汤,鬼市的酒,世界那么大我想出去看看,鬼市一家有情怀的源码交易市场>

某密码窃取器正在针对美国和加拿大的银行发起攻击

  • 时间:2021-07-28 22:12 编辑:网络来源 来源:网络来源 阅读:82
摘要:    AutoHotkey是一款免费的、Windows平台下开放源代码的热键脚本语言。    研究人员发现黑客正在传播一种用AutoHotkey(AHK)脚本语言编写的新证书窃取器,这是自2020年初开始的一项持续活动的一部分。    美国和加拿大的金融机构客户是此次攻击的主要目标,特别是针对银行,如丰业银行、加拿大皇家银行、汇丰银行、Alterna银行、第一资本银行、宏利人

    AutoHotkey是一款免费的、Windows平台下开放源代码的热键脚本语言。

    研究人员发现黑客正在传播一种用AutoHotkey(AHK)脚本语言编写的新证书窃取器,这是自2020年初开始的一项持续活动的一部分。

    美国和加拿大的金融机构客户是此次攻击的主要目标,特别是针对银行,如丰业银行、加拿大皇家银行、汇丰银行、Alterna银行、第一资本银行、宏利人寿和EQ银行,目的就是窃取用户的银行卡号和密码,另外还包括一家印度银行:印度工业信贷投资银行。

    AutoHotkey是一种面向MicrosoftWindows的开源自定义脚本语言,旨在为宏创建和软件自动化提供简单的热键,允许用户在任何Windows应用程序中自动化重复的任务。

    多阶段感染链开始于一个嵌入了VisualBasicforApplications(VBA)AutoOpen宏的带有恶意软件的Excel文件,该文件随后被用来通过合法的可移植AHK脚本编译器可执行文件(“adb.exe”)删除和执行下载程序客户端脚本(“adb.ahk”)。

    下载程序客户端脚本还负责实现持久性,分析受害者,并从位于美国、荷兰和瑞典的命令与控制(C&C)服务器下载和运行额外的AHK脚本。

    这个恶意软件的不同之处在于,它不是直接从C&C服务器接收命令,而是下载并执行AHK脚本来完成不同的任务。

    趋势科技的研究人员在一份分析报告中表示:

    “通过这样做,攻击者可以决定上传特定的脚本,为每个用户或用户组实现定制任务。这也防止了主要组件被公开,特别是向其他研究人员或沙箱披露。”

    其中最主要的是一个证书窃取程序,目标是各种浏览器,如谷歌Chrome,Opera,MicrosoftEdge等。安装完成后,攻击者还将尝试在受感染的计算机上下载SQLite模块(“sqlite3.dll”),并使用该模块对浏览器的应用程序文件夹中的SQLite数据库执行SQL查询。

    在最后一步,攻击者从浏览器收集并解密凭据,并通过HTTPPOST请求以纯文本形式将信息扩展到C&C服务器。

    研究人员注意到恶意软件组件“在代码级别上井井有条”,建议使用说明(俄语编写)可能意味着攻击链创建背后的“雇用黑客”组织,并将其作为一种服务提供给他人。

    研究人员总结道:

    “通过在受害者的操作系统中使用缺乏内置编译器的脚本语言,加载恶意组件来分别完成各种任务,并频繁更改C&C服务器,攻击者已经能够在沙箱中隐藏他们的攻击意图。”


【版权与免责声明】如发现内容存在版权问题,烦请联系平台客服及时删除,我们将及时沟通与处理。 本站内容除了鬼市 ( http://www.guisss.com/ )标注原创外,其它均为网友转载内容,涉及言论、版权与本站无关。