Windows Defender 被黑以部署这种危险的勒索软件

研究人员发现，Log4j 漏洞现在被用于通过 Windows Defender 命令行工具部署 Cobalt Strike 信标。

Sentinel Labs 的网络安全研究人员最近发现了一种新方法，该方法被未知的威胁行为者采用，最终结果是部署 LockBit 3.0 勒索软件。

它的工作原理是这样的：威胁参与者将利用 log4shell（因为 Log4j 零日被称为）来访问目标端点，并获得必要的用户权限。一旦解决了问题，他们就会使用 PowerShell 下载三个单独的文件：一个 Windows CL 实用程序文件（干净）、一个 DLL 文件（mpclient.dll）和一个 LOG 文件（实际的 Cobalt Strike 信标）。

侧装钴打击

然后，他们将运行 MpCmdRun.exe，这是一个为 Microsoft Defender 执行各种任务的命令行实用程序。该程序通常会加载一个合法的 DLL 文件——mpclient.dll，它需要正确运行。但在这种情况下，程序会加载同名的恶意 DLL，并与程序一起下载。

该 DLL 将加载 LOG 文件并解密加密的 Cobalt Strike 有效负载。

这是一种称为侧载的方法。

通常，这个 LockBit 附属公司使用 VMware 的命令行工具来侧载 Cobalt Strike 信标， BleepingComputer 说，所以切换到 Windows Defender 有点不寻常。该出版物推测，所做的更改是为了绕过 VMware 最近推出的针对性保护。尽管如此，还是使用离地工具来逃避被杀毒软件检测到（在新标签页中打开）或恶意软件（在新标签页中打开）该出版物总结说，如今保护服务“非常普遍”，敦促企业检查其安全控制并警惕跟踪合法可执行文件的使用情况。

尽管 Cobalt Strike 是一个合法的工具，用于渗透测试，但它已经变得非常臭名昭著，因为它被世界各地的威胁行为者滥用。它附带了一个广泛的功能列表，网络犯罪分子可以使用这些功能来绘制目标网络，在他们准备窃取数据和部署勒索软件时，不被检测到，并在端点之间横向移动。

通过： BleepingComputer （在新标签页中打开）

来源

以前的帖子

Windows Defender 被黑以部署这种危险的勒索软件

2024年必备软件

热门类别

最新评论

三星 Galaxy Z Flip 5 预告片在 Galaxy Unpacked 活动之前展示了新的铰链设计和颜色选项

Twitter 正在限制未经验证的用户可以发送的私信数量

我最喜欢的 Android 手机可以完成 iPhone 14 Pro Max 无法完成的任务

Android 版 ChatGPT 将于下周推出，您现在就可以预注册

小米智能电视 32A、智能电视 40A、智能电视 43A（带 Google TV）、20W 扬声器在印度推出：：价格、规格

这种可食用电池可以为诊断和可持续能源领域提供动力