当前位置：GHOST系统之家>电脑问题 > DanaBot恶意软件卷土重来

DanaBot恶意软件卷土重来

来源：Ghost系统之家浏览：时间：2022-11-01 07:21:50

研究人员报告称，经过几个月的神秘沉寂后，第四版的DanaBot银行木马终于浮出水面。鉴于过去的DanaBot有效活动的数量众多，研究人员仍在对最新的变体进行分析。

根据Proofpoint的说法，从2018年5月到2020年6月，DanaBot一直是犯罪软件威胁领域的固定装置，该公司于2018年首次发现了该恶意软件，并在周二发布了一份关于最新变种的汇报。

“从2020年10月下旬开始，我们观察到VirusTotal中出现的DanaBot样本有了重大更新，” DennisSchwarz，AxelF.和BrandonMurphy在星期二发布的合作报告中写道。“虽然DanaBot尚未恢复到以前的规模，但它却是防御者应重新关注的恶意软件。”

破坏者DanaBot

DanaBot是一种银行木马，它首先通过包含恶意URL的电子邮件将澳大利亚的用户作为目标。然后，罪犯分子开发了第二种变体并瞄准了美国公司，这是一系列大规模运动的一部分。据发现它的ESET研究人员称，第三种变体于2019年2月浮出水面，并且其远程命令和控制功能得到了显着增强。

Proofpoint最近发现的第四版非常特殊，因此研究人员的报告仍不清楚该恶意软件具有哪些特定的新功能。Proofpoint也没有回复媒体的讯问。

与以前的活动相比，星期二的报告表明，这种最新的变体大多带有与以前相同的致命工具库，主要功能包括ToR组件，用于匿名破坏者和受感染硬件之间的通信。

“正如DanaBot控制面板中先前报道的那样，我们认为DanaBot被设置为一种 ‘malware asaservice(MaaS)’，其中一个威胁行为者控制着一个全球指挥与控制(C&C)面板和基础架构，然后将访问权限出售给其他被称为分支机构的威胁参与者。”研究人员写道。

DanaBot的核心

一般来说，DanaBot的多阶段感染链始于一个dropper，该dropper会触发黑客的级联进化，这些措施包括窃取网络请求、窃取应用程序和服务凭据、敏感信息的数据泄露、间谍软件的桌面截图以及投放cryptominer将目标PC变成加密货币工蜂。

通过当前的分析，Proofpoint侧重于恶意软件“主要组件”内的具体技术变化，该恶意软件在这方面包括反分析功能，以及：

某些windowsAPI函数在运行时解析。
当一个与恶意软件相关的文件被读取或写入文件系统时，它是在良性诱饵文件读取或写入过程中完成的。
通过创建一个LNK文件来维护持久性，该文件将执行用户的Startup目录中的主要组件。

确定的增量更新

利用此新变体，研究人员确定了几个新的分支ID，这表明DanaBot的malware-as-a-service组件非常活跃并且在不断增长。此外，还发现了应对感染的新策略和新技术。

从这些站点下载的非法内容或warez工具被标记为该最新第四种变体的初始感染点。这个推广软件密钥生成器的网站，诱使用户以为他们正在下载程序破解，但实际上warez文件“包含多个'README'文件和一个受密码保护的档案，其中包含恶意软件捆绑包的初始放置程序，‘setup_x86_x64_install.exe,'，”Proofpoint写道。

“一些使用[DanaBot]的分支机构继续使用其他银行恶意软件(例如Ursnif和Zloader)开展其活动。目前尚不清楚是由于COVID-19，还是与其他银行恶意软件的竞争，亦或是重新开发时间等原因导致了这个下降，但DanaBot似乎又回来了，并试图在威胁领域重新站稳脚跟，”研究人员总结说。

本文翻译自：https://threatpost.com/danabot-malware-roars-back/163358/

鸿蒙官方战略合作共建——HarmonyOS技术社区