300块一天 国内黑客售卖新型远控工具
近日，瑞星威胁情报平台率先捕获到一批攻击流程异常复杂的.NET恶意程序，经瑞星安全研究院深入分析发现，这些恶意程序实则是一整套黑产工具，名为“FastDesktop”，该工具可以通过衍生出的病毒及变种远程控制用户主机，并上传用户隐私信息。经溯源发现该病毒作者疑为国内黑客，通过售卖这套黑产工具牟取利益，定价为300块/天。（获取完整报告关注“瑞星企业安全”，回复关键字“FastDesktop”）
瑞星安全专家介绍，在通过对多个同类样本进行分析后发现，这批恶意程序为后门病毒，其中的两大版本均是通过DLL劫持进行攻击的，攻击者通过调用系统进程svchost.exe，以服务形式加载一个正规迅雷的库文件fdsvc.dll，然后在该库文件执行的时候再导入伪装成迅雷的另一个恶意文件libexpat.dll，同时由于在攻击流程中负责执行攻击功能的文件都是DLL库，需要被加载进内存才可以执行，因此依靠“捕获-响应”、基于特征或哈希的传统反病毒技术很难检测出这类恶意程序。
图：“FastDesktop”中两大版本的攻击流程
麦青儿 最后编辑于 2022-04-27 17:38:24
