电脑svchost错误 – 范的资源库

电脑svchost错误
电脑svchost错误(svchost 系统错误)

据美国科技媒体报道BleepingComputer报道称，一项新的在线钓鱼活动正试图使用一种名为BazarBackdoor新型后门木马获得目标企业网络的完全访问权。基于代码的相似性，臭名昭著TrickBot银行木马的开发人员被认为是幕后黑手。

网络钓鱼电子邮件

钓鱼邮件可能是客户投诉、新型冠状病毒和裁员表等各种主题。

图1.冒充客户投诉钓鱼邮件示例(恶意链接指向托管Google Docs上面的诱饵文档)

攻击者在发送钓鱼邮件时使用Sendgrid(电子邮件服务平台可以帮助发件人跟踪他们的电子邮件统计数据。）

图2.通过钓鱼邮件Sendgrid发送

诱饵文档可能是Word文档、Excel电子表格或PDF与钓鱼邮件主题相对应的文件。

无论诱饵文档采用何种格式，都有一个共同的特点——无法正常在线预览。也就是说，如果你想查看它的内容，你只能下载它。

图3.新型冠状病毒主题诱饵文档

图4.客户投诉主题诱饵文档

尽管下载的文件使用Word、Excel或PDF但实际上它们都是可执行文件。例如，新型冠状病毒主题诱饵文档对应的文件被称为PreviewReport.DOC.exe客户投诉主题诱饵文档对应的文件名为Preview.PDF.exe”。

但是，由于Windows默认情况下不显示文件扩展名，所以收件人看到的文件名只会是PreviewReport.DOC”和“Preview.PDF误以为是Word和PDF文档。

分析表明，可执行文件是BazarBackdoor加载程序。一旦启动，后门将隐藏在收件人的电脑上。

图5.BazarBackdoor加载程序

无文件后门

在收件人启动下载的文件后，加载程序将首先休眠一段时间，然后连接到命令和控制（C2)服务器下载后门的有效载荷。

在BleepingComputer第一个测试C请求总是返回404 HTTP错误代码。

图6.C2通信

但是，第二个C2请求将下载XOR加密的有效载荷，即BazarBackdoor后门木马。

图7.XOR有效加密载荷

最后，以无文件的形式注入有效载荷C://Windows//system32//svchost.exe”进程。BleepingComputer表示，这是通过Process Hollowing和 Process Doppelg?nging完成技术。

图8.注入后门svchost.exe

由于Windows大量的任务在任务管理中始终运行svchost.exe因此，大多数用户不太可能注意到什么时候会有这样的过程，然后就不会注意到后门的存在。

此外，用户登录还配置了加载程序Windows启动时，允许下载并注入后门的新版本svchost.exe进程。

图9.添加计划任务

一段时间后，后门程序将在受害者的计算机上下载并执行渗透测试神器Cobalt Strike，为攻击者提供完全访问受害者计算机的权限。

BazarBackdoor或出自TrickBot开发人员之手

类似的钓鱼邮件格式、传播方式和代码都表明BazarBackdoor很有可能是原因TrickBot开发银行木马背后的同一组织。

此外，BazarBackdoor以前也用过TrickBot在活动中创建相同的加密器、电子邮件链接和证书。

结语

BleepingComputer表示，正在通过BazarBackdoor攻击者在获得受害者计算机的完全访问权后，可以执行任何攻击，如窃取数据、部署勒索软件或将访问权出售给其他黑客。

鉴于钓鱼邮件的数量，BleepingComputer认为BazarBackdoor对企业网络构成严重威胁，建议企业警惕员工sendgrid.net电子邮件，文件下载链接的电子邮件。