Tìm kiếm


Phần mềm độc hại được viết bằng ngôn ngữ lập trình Nim - NimzaLoader

  • Chia sẻ:

phần mềm độc hại mới được viết bằng ngôn ngữ lập trình Nim . Được các nhà nghiên cứu Proofpoint đặt tên là "NimzaLoader"

Phần mềm độc hại được viết bằng ngôn ngữ lập trình Nim - NimzaLoader

Các nhà nghiên cứu an ninh mạng đã mở ra một "chiến dịch email thú vị" được thực hiện bởi một kẻ đe dọa đã thực hiện để phân phối một phần mềm độc hại mới được viết bằng ngôn ngữ lập trình Nim . Được các nhà nghiên cứu Proofpoint đặt tên là " NimzaLoader ", sự phát triển này đánh dấu một trong những trường hợp hiếm hoi của phần mềm độc hại Nim được phát hiện trong bối cảnh mối đe dọa.

 "Các nhà phát triển phần mềm độc hại có thể chọn sử dụng một ngôn ngữ lập trình hiếm để tránh bị phát hiện, vì các kỹ sư đảo ngược có thể không quen với cách triển khai của Nim hoặc tập trung vào việc phát triển tính năng phát hiện cho nó, và do đó các công cụ và hộp cát có thể gặp khó khăn trong việc phân tích các mẫu của nó", các nhà nghiên cứu nói.

Phát hiện

Proofpoint đang theo dõi những người điều hành chiến dịch với biệt danh "TA800", theo họ, họ đã bắt đầu phân phối NimzaLoader bắt đầu từ ngày 3 tháng 2 năm 2021.

Trước loạt hoạt động mới nhất, TA800 được biết là đã chủ yếu sử dụng BazaLoader kể từ tháng 4 năm 2020. Ngôn ngữ lập trình Nim Mặc dù APT28 trước đây đã được liên kết để cung cấp phần mềm độc hại Zebrocy bằng cách sử dụng trình tải dựa trên Nim, sự xuất hiện của NimzaLoader là một dấu hiệu khác cho thấy các phần tử độc hại đang liên tục trang bị lại kho phần mềm độc hại của họ để tránh bị phát hiện.

Phân tích

Các phát hiện của Proofpoint cũng đã được chứng thực độc lập bởi các nhà nghiên cứu từ nhóm tình báo về mối đe dọa của Walmart, những người đã đặt tên cho phần mềm độc hại là "Nimar Loader" Giống như trường hợp của BazaLoader, chiến dịch được phát hiện vào ngày 3 tháng 2 đã sử dụng các chiêu trò lừa đảo qua email được cá nhân hóa có chứa liên kết đến một tài liệu PDF được cho là chuyển hướng người nhận đến tệp thực thi NimzaLoader được lưu trữ trên Slack, sử dụng biểu tượng Adobe giả mạo như một phần của nó các thủ thuật kỹ thuật xã hội.

NimzaLoader

Sau khi được mở, phần mềm độc hại được thiết kế để cung cấp cho những kẻ tấn công quyền truy cập vào hệ thống Windows của nạn nhân, cùng với khả năng thực thi các lệnh tùy ý được truy xuất từ ​​máy chủ điều khiển và chỉ huy - bao gồm thực hiện các lệnh PowerShell, đưa mã shellcode vào các quy trình đang chạy và thậm chí triển khai bổ sung phần mềm độc hại.

Bằng chứng

Bằng chứng bổ sung do Proofpoint và Walmart thu thập cho thấy rằng NimzaLoader cũng đang được sử dụng để tải xuống và thực thi Cobalt Strike làm tải trọng phụ của nó, cho thấy rằng kẻ đe dọa đang tích hợp các chiến thuật khác nhau vào các chiến dịch của nó.

"Không rõ liệu Nimzaloader chỉ là một đốm sáng trên radar của TA800 - và bối cảnh mối đe dọa rộng lớn hơn - hay liệu Nimzaloader sẽ được các tác nhân đe dọa khác áp dụng giống như cách mà BazaLaoder đã nhận được sự chấp nhận rộng rãi hay không", các nhà nghiên cứu đã kết luận.

Nguồn: https://thehackernews.com/2021/03/researchers-spotted-malware-written-in.html

Tags:
Hoàng Hà

Hoàng Hà

Tôi là một người đam mê công nghệ, vì vậy tôi muốn chia sẻ với mọi người những hướng dẫn chi tiết và tốt nhất. Mong muốn giúp tất cả mọi người có thể tìm hiểu đã dàng, thực hiện mọi việc tốt hơn.