TMT观察网_独特视角观察TMT行业

圖1.哥斯拉加載器惡意軟件

區(qū)塊鏈安全咨詢公司 曲速未來 消息：網(wǎng)絡(luò)犯罪分子在Dark網(wǎng)絡(luò)論壇上以500美元的價格宣傳Godzilla Loader惡意軟件，該惡意軟件被定期維護(hù)并獲得新的更新。

哥斯拉的特點和它們的用途

為了讓你有正確的思維方式來考慮哥斯拉與情緒，這是我們自己的下載器，用Python編寫：

哥斯拉現(xiàn)代下載器或滴管首先在受害者的機器上運行二進(jìn)制文件，然后從遠(yuǎn)程服務(wù)器下載有效載荷。

根據(jù)調(diào)查得知，與其競爭對手Emotet相比，Godzilla Loader惡意軟件的感染率要低得多。

Godzilla加載器廣告稱其內(nèi)置UAC旁路，用戶帳戶控制（UAC）是一種Microsoft安全工具，可幫助防止惡意軟件的入侵。

圖3.Godzilla Loader廣告的開幕

繞過UAC非安全邊界

早期的MS-Windows幾乎沒有訪問控制的方式，并且在Windows Vista中引入了UAC作為解決此問題的權(quán)宜之計。您可能熟悉對話框提示，通知您這個或另一個進(jìn)程“想要對您的計算機進(jìn)行更改”，這是“希望擁有管理員權(quán)限”的外行翻譯。UAC最初因為不斷提示屏幕驅(qū)動早期的Vista采用者而臭名昭著，這些提示凍結(jié)了整個屏幕的其余部分并從所有其他應(yīng)用程序中搶走了焦點。

自UAC首次亮相以來，其用戶界面已經(jīng)有了重大改進(jìn)，但同樣不能說它能夠阻止惡意行為者。雖然UAC確實為進(jìn)入惡意軟件（例如）關(guān)閉AV產(chǎn)品提供了一定的障礙，但通過一些努力，這個障礙被證明是可以克服的。如果您想了解我們的意思，請考慮UACMEgithub存儲庫，由自稱為“軟件工程師，惡意軟件分析師”的infosec個性化@hFireF0X提供服務(wù);存儲庫是一個教育展覽，目前列出了50多個（！）不同的攻擊向量，用于繞過UAC及其相應(yīng)的實現(xiàn)。UAC作為一個完全強大的安全功能的戰(zhàn)斗早已失傳。差不多十年前，微軟嘆了口氣，宣稱UAC不是安全邊界。

正如廣告中所提到的，哥斯拉裝載機配備了內(nèi)置的UAC旁路-具體來說，就是這里所描述的。此UAC繞過基本上是特權(quán)進(jìn)程eventvwr.exe中的漏洞;由于存在錯誤，進(jìn)程在查詢注冊表以獲取Microsoft管理控制臺的位置時會訪問錯誤的注冊表項，并且可以修改此錯誤的注冊表項，而不需要任何權(quán)限要求。因此，攻擊者可以指定他們喜歡的任何可執(zhí)行文件，并且此可執(zhí)行文件將以管理員權(quán)限運行。

圖4.eventvwr.exe的清單，包括自動提升請求

當(dāng)你所擁有的只是一個IUNKNOWN接口時，一切看起來都像一個COM對象

隨著新版本的“哥斯拉”，作者聲稱他們已經(jīng)轉(zhuǎn)換了更多的控制流程，完全依賴于COM接口;通過IPresistFile接口實現(xiàn)持久性，并通過IShellDispatch接口觸發(fā)本地磁盤上程序的shell執(zhí)行。

圖5.哥斯拉的第一個COM接口請求

它還執(zhí)行其他功能，例如刪除文件備份，這是它成為反勒索軟件措施的唯一可能原因，該措施通過從影子文件備份恢復(fù)原始文件來運行。

威脅參與者為C＆C通信提供了雙層故障保護(hù)，并使用RSA-2048來驗證C＆C服務(wù)器的身份。

最新版本的惡意軟件似乎從去年12月開始開發(fā)，最新版本包含傳播模塊，鍵盤記錄模塊和密碼竊取模塊。

勒索軟件管家即服務(wù)

另一個引起注意的特性是在受害者系統(tǒng)上自動刪除文件備份卷影副本。對于大多數(shù)類型的惡意廣告系列，此功能不會以某種方式產(chǎn)生影響;它存在的唯一可能原因是通過從影子文件備份中恢復(fù)原始文件來實現(xiàn)非常具體的反Ransomware措施。

首先，“恢復(fù)陰影文件”位于反勒索軟件攻擊的圖騰柱上相對較低。最重要的是，絕大多數(shù)勒索軟件都將內(nèi)置此功能;雖然勒索軟件作者通常不是出色的加密思想，但他們已經(jīng)掌握了基礎(chǔ)知識，并且基礎(chǔ)已經(jīng)包括“確保刪除影子文件”。只有最低級別的低層勒索軟件才能檢查此復(fù)選框。

結(jié)論

區(qū)塊鏈安全咨詢公司 曲速未來 表示：根據(jù)它的存在和采用率，研究人員表示它可能是長尾原理的一個很好的例子。與手機型號和編程語言一樣，可以預(yù)計惡意下載器的普及將遵循帕累托分布，其中少數(shù)演員占據(jù)市場的大部分，其余的則由小型利基演員的海洋所占據(jù)。這絕對是故事的一部分，但不是全部。