麻豆国内精品欧美在线-麻豆国内精品久久久久久-麻豆国产在线观看一区二区-麻豆国产在线观看免费-麻豆国产原创-麻豆国产一区二区在线观看

前言：

AZORult是一個強(qiáng)大的信息竊取程序和下載程序，安全研究人員最初在2016年通過Chthonic銀行特洛伊木馬識別出這是次要感染的一部分。后來它參與了許多malspam攻擊。直到一個復(fù)雜版本的AZORult間諜軟件在野外被發(fā)現(xiàn)，它參與了7月18日的大型電子郵件活動的惡意軟件被研究人員在野外發(fā)現(xiàn)了新版本的AZORult間諜軟件，它于7月18日參與了大型電子郵件活動，僅在24小時就出現(xiàn)在黑暗網(wǎng)絡(luò)上的網(wǎng)絡(luò)犯罪論壇上。攻擊者發(fā)送了數(shù)千封針對北美的郵件。這些消息使用與就業(yè)相關(guān)的主題，如“關(guān)于角色”和“工作申請”，而惡意附加文檔使用格式為“firstname.surname_resume.doc”的文件名。“AZORult惡意軟件憑借其憑證和加密貨幣盜竊的能力，為個人帶來潛在的直接經(jīng)濟(jì)損失，以及行動者在受影響組織中建立灘頭陣地的機(jī)會”。

9月17日，安全研究人員在黑暗網(wǎng)站上發(fā)現(xiàn)了一個名為“Gazorp”的新在線建設(shè)者。Gazorp旨在構(gòu)建流行惡意軟件Azorult的二進(jìn)制文件，Azorult是一種用于竊取用戶密碼，信用卡信息，加密貨幣相關(guān)數(shù)據(jù)等的信息用戶。此外，Gazorp服務(wù)是免費(fèi)提供的，威脅行為者可以創(chuàng)建新的Azorult樣本和相應(yīng)的面板服務(wù)器代碼，只需提供他們的命令和控制（C＆C）地址即可。該地址嵌入到新創(chuàng)建的二進(jìn)制文件中，而后者又可以以威脅行為者認(rèn)為合適的任何方式進(jìn)行分發(fā)。

根據(jù)對構(gòu)建的惡意軟件的分析表明，Gazorp有效地生成了Azorult 3.0版的樣本，已知該版本在五個月前發(fā)布。從那以后，惡意軟件被更新兩次，隨后的版本3.1和3.2被發(fā)布并在野外觀察，使得Gazorp構(gòu)建的版本已經(jīng)過時。即便如此，過時版本好事具有多種竊取功能，任何參與者都可以利用這些功能來收集受害者信息并濫用它，以及包含對惡意軟件C2面板代碼的多次升級和增強(qiáng)。

Gazorp公布時機(jī)

非常有趣的事情是它的發(fā)布時間。Gazorp在Dark Web上的出現(xiàn)之前是Azorult面板的代碼泄漏。實(shí)際上，這種泄漏允許任何想要主持Azorult C＆C面板的人能夠以適度的低成本完成這項(xiàng)工作。泄漏還包含最新版惡意軟件的構(gòu)建器，它似乎不是其作者使用的原始版本。相反，它只是編碼并將C＆C地址字符串作為參數(shù)提供給用戶，作為現(xiàn)成二進(jìn)制文件中的特定字段。因此，簡單的機(jī)制和最近版本向公眾的整體傳遞有可能激發(fā)Gazorp的作者在線介紹它。

區(qū)塊鏈安全咨詢公司 曲速未來 提醒：另一點(diǎn)需要注意的是，在線構(gòu)建器鏈接到Telegram頻道，其中創(chuàng)建者的活動對公眾可見。參與的人可以獲得項(xiàng)目的更新，并提出自己的改進(jìn)意見。此外，作者鼓勵用戶通過向特定比特幣錢包發(fā)放交易來向他們的項(xiàng)目捐款，這似乎是將Gazorp貨幣化的唯一方式（因?yàn)樗氖褂檬峭耆赓M(fèi)的）。作為回報(bào)，他們聲稱，用戶將從他們的一方的更多開發(fā)和升級中受益。

圖2：Gazorp在黑暗網(wǎng)站上的頁面

上面構(gòu)建器頁面中的第一段指定了希望使用它的任何用戶需要采取的簡單操作。它轉(zhuǎn)換為以下內(nèi)容：

“今天最受歡迎的經(jīng)銷商之一的自由建設(shè)者，Azorult就在這里。它就像2×2一樣簡單：

1.指定竊取者將報(bào)告的域。

2.下載包含構(gòu)建，手冊和面板的存檔。

3.安裝面板，部署構(gòu)建。

4.工作$$$;

此外，作者試圖將他們引入惡意軟件面板的增強(qiáng)功能描述為他們在此項(xiàng)目中提供的最重要的價值。Azorult的版本3小組也在過去泄露并上傳到Github，為騙子和網(wǎng)絡(luò)犯罪分子濫用它提供了機(jī)會。

作者指出，對面板的更改包括多個漏洞和錯誤修復(fù)，更好的性能，可視化增強(qiáng)功能和各種新功能。實(shí)際上，如果為兩個面板區(qū)分源代碼樹，就可以看到Gazorp中的主要差異和增加。

圖3：Gazorp和Azorult v3面板之間的代碼樹差異，黑色方塊表示Azorult樹中缺少代碼目錄

實(shí)際上，Gazorp的小組看起來遠(yuǎn)不如承諾那么誘人。與Azorult v3相比，主要統(tǒng)計(jì)頁面看起來相當(dāng)沉悶，其對應(yīng)的主要改進(jìn)是全局堆映射，它按照Azorult面板中無法訪問的方式按國家地區(qū)提供統(tǒng)計(jì)信息。

圖4：Gazorp的主面板菜單，帶有新的全局統(tǒng)計(jì)功能

圖5：Azorult版本3主面板菜單

除了建議的修改之外，未來還有許多承諾的功能。例如，作者合并了一個“模塊”部分，該部分暗示了使用新功能擴(kuò)展Azorult的能力，但尚未實(shí)現(xiàn)。它們還提供更多隨意面板功能，例如配置面板和將各種數(shù)據(jù)庫導(dǎo)出到文件的功能。這些還沒有提供，預(yù)計(jì)隨著項(xiàng)目的發(fā)展而增加。

圖6：計(jì)劃面板功能

使用Azorult v3.0二進(jìn)制文件

由Gazorp生產(chǎn)的這個版本的Azorult可以通過幾個顯著的特征來識別：

1、每個版本的Azorult都有一個獨(dú)特的互斥鎖，惡意軟件在執(zhí)行開始時會創(chuàng)建該互斥鎖。Azorult v3.0特別創(chuàng)建了一個互斥名稱，它是當(dāng)前用戶（A-admin，U-user，S-system，G-guest）和字符串“d48qw4d6wq84d56as”的權(quán)限的串聯(lián)。

圖7：Azorult v3.0和Gazorp互斥鎖以及C2服務(wù)器名稱

2、Azorult使用簡單的XOR方法加密與C2服務(wù)器的連接，并在文件中使用密鑰硬編碼。每個版本的Azorult都有不同的密鑰。在v3.0的情況下，其0xfe，0x29,0x36。

圖8：Gazorp和Azorult 3.0連接方法和密鑰

3、來自C2服務(wù)器的解密返回消息由標(biāo)簽組成。在3.0版中，返回的消息具有以下標(biāo)記：

使用Base64解碼標(biāo)簽之間的值。

圖9：Azorult v3.0和Gazorp通過標(biāo)簽解釋收到的C2消息

結(jié)語：

這個新的shady服務(wù)為Web中一些常見惡意軟件的易訪問性提供了一個示例。目前，安全人員正在研究Gazorp服務(wù)的早期版本（0.1），其中提供的主要產(chǎn)品是增強(qiáng)的Azorult C＆C面板代碼。希望該項(xiàng)目能夠隨著時間的推移而發(fā)展，并可能為Azorult生成新的變體。區(qū)塊鏈安全咨詢公司 曲速未來 告誡：鑒于該服務(wù)是免費(fèi)的，Gazorp建立二進(jìn)制文件的新活動也有可能在野外開始出現(xiàn)更高規(guī)模。所以還是要繼續(xù)留意，注意它的威脅。