建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
多個(gè)惡意軟件正在使用 Ezuri內(nèi)存 Loader 進(jìn)行防護(hù)，使安全產(chǎn)品無(wú)法檢測(cè)到他們的惡意代碼。Ezuri 在 GitHub 上提供了用 Golang 編寫(xiě)的源代碼，在惡意軟件中變得越來(lái)越普及。
創(chuàng)新互聯(lián)自2013年起，公司以成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站建設(shè)、系統(tǒng)開(kāi)發(fā)、網(wǎng)絡(luò)推廣、文化傳媒、企業(yè)宣傳、平面廣告設(shè)計(jì)等為主要業(yè)務(wù)，適用行業(yè)近百種。服務(wù)企業(yè)客戶(hù)千余家，涉及國(guó)內(nèi)多個(gè)省份客戶(hù)。擁有多年網(wǎng)站建設(shè)開(kāi)發(fā)經(jīng)驗(yàn)。為企業(yè)提供專(zhuān)業(yè)的網(wǎng)站建設(shè)、創(chuàng)意設(shè)計(jì)、宣傳推廣等服務(wù)。 通過(guò)專(zhuān)業(yè)的設(shè)計(jì)、獨(dú)特的風(fēng)格，為不同客戶(hù)提供各種風(fēng)格的特色服務(wù)。
Ezuri 解密內(nèi)存中的 Payload
根據(jù) AT&T Alien Labs 發(fā)布的分析報(bào)告，多個(gè)攻擊者正在使用 Ezuri 來(lái)加密其惡意軟件并逃避安全產(chǎn)品的檢測(cè)。
盡管 Windows 惡意軟件都會(huì)采用類(lèi)似的方式，但攻擊者現(xiàn)在也正在 Linux 平臺(tái)上使用 Ezuri 實(shí)現(xiàn)這一目標(biāo)。
Ezuri 用 Go 語(yǔ)言編寫(xiě)，同時(shí)充當(dāng) Linux 二進(jìn)制文件的加密和加載器。Ezuri 使用 AES 加密惡意軟件代碼，解密后直接在內(nèi)存中執(zhí)行 Payload，不會(huì)在磁盤(pán)上落地任何文件。
Ezuri 的創(chuàng)建者 Guilherme Thomazi Bonicontro('guitmz')于 2019 年在 GitHub上開(kāi)源了代碼，并在他的博客文章中首次展示了該工具的功能。
“此外，用戶(hù)'TMZ'(可能與先前提到的 'guitmz' 有關(guān))在 8 月下旬在一個(gè)共享惡意軟件樣本的小型論壇上也發(fā)布了相同的代碼”，AT&T Alien Labs 的研究員 Ofer Caspi 和 Fernando Martinez 解釋道。
研究人員指出，解密 AES 加密的 Payload 后，Ezuri 立即將結(jié)果作為參數(shù)傳遞給 runFromMemory 函數(shù)，而不會(huì)在失陷主機(jī)上釋放文件。
VirusTotal的檢測(cè)率接近零
AT&T 的研究表明，通常在 VirusTotal 上有一半的反病毒引擎判黑的惡意軟件樣本在用 Ezuri 加密后，被檢測(cè)到的概率接近 0。
目前為止， 使用 Ezuri 加密的樣本在 VirusTotal 上的檢測(cè)率還不到 5%。
多個(gè)攻擊者都在積極使用
在過(guò)去的幾個(gè)月中，Caspi 和 Martinez 確定了幾個(gè)惡意軟件都在將其樣本與 Ezuri 捆綁使用。其中包括從 2020 年 4 月開(kāi)始活躍的網(wǎng)絡(luò)犯罪組織 TeamTnT。
最初，TeamTnT 會(huì)攻擊配置錯(cuò)誤的 Docker 服務(wù)，將失陷主機(jī)轉(zhuǎn)變?yōu)?DDoS 肉雞和挖礦的礦工。后來(lái)，TeamTnT 的變種會(huì)從內(nèi)存中提取 AWS 憑據(jù)。由 Palo Alto Networks Unit42發(fā)現(xiàn)的其中一個(gè)變種(Black-T)實(shí)際上是使用 Ezuri 加密的?！?/p>
解密后的 Payload 是一個(gè) UPX 加殼的 ELF 文件，首次出現(xiàn)在 2020 年 6 月。詳細(xì)信息可參見(jiàn) ATT&T 的分析文章。
參考來(lái)源：BleepingComputer
新聞名稱(chēng)：多個(gè)惡意軟件使用Ezuri加密降低檢出率
當(dāng)前網(wǎng)址：http://www.dlmjj.cn/article/dpdhceh.html
