最近趨勢科技遇到了一個在各方面都令我們訝異的未知惡意程式。首先,我們發現它是經由水坑式攻擊來散布,要使用這項散步技巧,歹徒必須先駭入某個網站,然後在網頁中插入程式碼來將訪客重導到用來感染電腦的網頁。在此案例當中,每位訪客只會被重導一次,而感染時會攻擊 CVE-2018-8174 這個 VBScript 引擎的漏洞。不過,此漏洞早在 2018 年 5 月 Microsoft 即已修正。

其次,惡意程式採用的是多重階段感染技巧。在攻擊前述漏洞之後,惡意程式會下載一個 DLL 動態連結程式庫檔案,並使用 PowerShell (PS) 來執行此檔案。該檔案其實也是一個檔案下載程式,它會下載並執行另一個後門程式的執行檔。此外,第一階段下載程式會檢查使用者的電腦上是否有某些防毒軟體正在執行,如果有的話就將防毒軟體的執行程序終止。在我們發現此惡意程式的當下,各家防毒軟體似乎都還不認得這個惡意程式。
除了先前提到的狀況之外,我們也很快注意到此惡意程式會連線至 Slack 這個協同作業訊息平台,在這平台上,使用者可利用頻道來建立自己的工作空間 (Workspace),有點類似 IRC 聊天系統。這一點很有意思,因為我們至今尚未見過有哪個惡意程式利用 Slack 來進行通訊。
根據趨勢科技對駭客攻擊工具、技巧及程序的技術性分析,我們認為這項威脅應該與一起隱匿的針對性攻擊有關,並且由具備相當技巧的駭客所發動,而非一般的網路犯罪攻擊。
繼續閱讀





