freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

因Squirrelwaffle的兴起,银行木马QBot卷土重来
2021-11-16 10:36:09

据bleeping computer消息,此前一度登上世界前十的银行木马QBot正卷土重来,多家安全研究公司的分析师将此归因于 Squirrelwaffle 的兴起。

资料显示,Qbot木马是一种Windows银行木马,具有蠕虫功能,至少从2009年开始活跃,用于窃取银行凭证,个人信息和财务数据。因此,Qbot木马常被用于窃取银行证书和金融数据,以及记录用户的键盘、部署后门,并在受到攻击的设备上投放额外的恶意软件。

自2009年开始活跃以来,Qbot木马一直在不断更新,给多家银行造成严重经济损失。例如在2002年6月,攻击者就曾利用Qbot木马有效载荷对美国多家银行发起持续攻击,共窃取了数十家美国金融机构客户的凭证。其中包括摩根大通、花旗银行、美国银行、富国银行等全球知名银行。

Qbot 还有一个危险的新特性:专用电子邮件收集器模块。该模块可从受害者的 Outlook 客户端提取电子邮件线程,并将其上传到外部远程服务器。借此,Qbot 能够劫持受感染用户的合法电子邮件对话,然后利用这些被劫持的电子邮件发送垃圾信息,从而提高诱骗其他用户感染的几率。

Qbot 还支持其控制器连接到受害者的电脑,以实施未经授权的银行交易。Qbot木马因此凶名在外,2020年8月,全球知名网络安全公司Check Point®发布了《全球威胁指数》,首次将新型Qbot 变种木马排在十大恶意软件指数排行榜榜首。

2021年,随着越来越多的企业注意到Qbot木马,其活跃度逐渐降低。但是,安全研究人员近段时间又发现,因为一种名为Squirrelwaffle 恶意软件的兴起,Qbot木马活跃度再次上升。

借着SquirrelWaffle再次兴起

Squirrelwaffle是一种新型恶意软件,它为攻击者提供了一个进攻的桥头堡,以及投放恶意软件感染互联网和设备的方法。

2021年10月,有安全专家预测,Squirrelwaffle恶意软件是最有可能填补Emotet留下的空白市场,如今这一预言已经变成了现实,不仅如此还让Qbot木马重出江湖。

据悉,Squirrelwaffle出现于2021年9月,主要是通过垃圾邮件活动进行传播,主要的语言是英语,但也会使用法语、德语、荷兰语、波兰语等发送电子邮件。自出道后,该勒索软件表现出极强的感染性,其分发量也在9月底达到了峰值。

日前,Sentinel Labs发布了一份关于SquirrelWaffle加载器崛起的报告,当它进攻的桥头堡建立之后,随即开始传播Qakbot木马。

Minerva Labs的安全研究人员也发现了类似的问题,他们给出了整个过程,如下图所示:

安全研究人员表示,SquirrelWaffle还会使用VBA宏执行PowerShell命令,检索其有效负载并启动它。

松鼠狼还使用VBA宏执行PowerShell命令,检索其有效负载并启动它。和它前辈Emotet广撒网钓鱼不同的是,SquirrelWaffle在制作钓鱼邮件上显的更加上心,常根据受害者的情况发起针对性攻击,因此中招的概率相对更高。

此外,SquirrelWaffle团伙还非常舍得下本钱,他们常把邮件伪装的工作外包给这方面的“专家”,这部分人更加擅长社会工程学,因此钓鱼邮件看起来十分真实,这也是SquirrelWaffle 恶意软件能够肆虐全球的核心原因之一。

参考来源:

https://www.bleepingcomputer.com/news/security/qbot-returns-for-a-new-wave-of-infections-using-squirrelwaffle/

# 恶意软件 # 钓鱼邮件 # 木马病毒
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录