Microsoft阻止針對數十個目標的憑據盜竊攻擊
責編：gltian ｜2019-10-11 10:52:18
7月初，通過分發LokiBot信息竊取者有效載荷的垃圾郵件運動，大約有100個組織成為大規模魚叉網絡釣魚的目標。
攻擊者以憑據盜竊為目標，攻擊了來自世界各地的企業，重點攻擊了阿拉伯聯合酋長國，德國和葡萄牙的公司。
盜竊信息的Lokibot惡意軟件（一種已知已在各種地下站點上進行廣告和銷售的病毒），是威脅參與者選擇的工具，一旦他們設法破壞并感染目標計算機，它們便會收集和泄露敏感數據。
但是，正如發現該攻擊的Microsoft Defender ATP研究團隊所說，“ Microsoft Defender ATP中的行為阻止和遏制功能在攻擊的早期階段成功檢測到并挫敗了該攻擊，從而保護了客戶免受損害?！?/p>
憑證盜竊攻擊鏈
為了分發Lokibot負載，攻擊者使用了針對性強的魚叉式網絡釣魚電子郵件，其中包含專門針對目標組織的內容。
例如，對于一家制藥公司，他們“使用制藥行業的行話來提高電子郵件的信譽，在一種情況下，要求對目標公司可能生產的成分進行報價。”
網絡釣魚郵件樣本
為了破壞受害者的系統，當目標打開誘餌文檔時，網絡釣魚電子郵件附件將從攻擊者控制的WordPress網站加載惡意代碼。
下一步，遠程加載的利用代碼將濫用Microsoft Office Equation Editor組件中的?CVE-2017-11882遠程執行代碼漏洞?，并且在成功利用Lokibot惡意軟件后，將其下載并刪除。
LokiBot會收集盡可能多的敏感信息，這些信息隨后會通過HTTP POST請求傳遞到惡意軟件操作員的命令和控制（C2）服務器。
LokiBot惡意軟件以竊取各種各樣的憑據而聞名，包括但不限于電子郵件帳戶密碼，FTP憑據，瀏覽器存儲的密碼等等。
被?Microsoft Defender ATP?阻止的攻擊
但是，正如?微軟所說?，“?Microsoft Defender ATP中?內置的基于行為的機器學習模型在攻擊鏈中的兩個點都抓住了攻擊者的技術?！?/p>
更準確地說，它設法檢測到惡意攻擊的利用行為以及用于在將其惡意代碼取消映射后將惡意代碼注入運行中的進程的挖空技術。
攻擊鏈
上個月，微軟的研究人員還?發現了一個新的無文件惡意活動，?該?活動?由Microsoft Defender ATP研究團隊?命名為Nodersok，?由Cisco Talos?命名為?Divergent?，并在放下LOLBins并使用基于Node.js的惡意軟件感染Windows系統的情況下進行了觀察代理。
七月份，微軟發現了另一個?無文件惡意軟件活動，該活動將信息竊取者Astaroth Trojan?放入了受感染計算機的內存中。
就像9月份檢測到Nodersok攻擊一樣，傳遞Astaroth負載的攻擊使用了各種無文件技術和多階段感染鏈，最初的媒介是帶有惡意鏈接的魚叉式網絡釣魚電子郵件。