Revenge RAT惡意軟體升級版來襲
一、摘要
Revenge RAT惡意軟體變得越來越隱蔽，歸因於其異常先進的分發技術和基礎設施。最近， Cofense IntelligenceTM 觀察到此廣泛使用的遠端訪問木馬進行了升級，這有助於它訪問網路攝像頭、麥克風和其他實用程式，因為Revenge RAT進行了重新調整並試圖在目標計算機上獲得立足點。當它成功時，RAT可以大大增加威脅行為者的破壞力，其中包括通過鍵盤記錄器或其他間諜軟體監控使用者行為、竊取個人資訊以及分發其他惡意軟體。
由於冗餘的命令和控制基礎架構被標記為合法內容，威脅行為者可以在不將檔案保留在磁碟上的情況下分發Revenge RAT樣本。Revenge RAT使用帶有Office巨集的Microsoft Office Excel工作表來感染目標。指令碼在定製的blogspot.com頁面的HTML中執行。複雜的感染鏈，專注於維持永續性以及逃避檢測的策略，構成了複雜的威脅。
二、細節
Cofense Intelligence最近發現了一個分發Revenge RAT的電子郵件活動，該活動在其傳遞技術和永續性機制方面表現出明顯高出正常水平的先進性。Revenge RAT是一種簡單且免費提供的遠端訪問特洛伊木馬，它允許威脅攻擊者遠端訪問系統元件（如網路攝像頭、麥克風和其他各種實用程式）之前自動收集系統資訊。這可以使威脅行動者進行偵察併為進一步的活動建立灘頭陣地。在此活動中，威脅參與者使用冗餘的命令和控制基礎設施偽裝成合法內容，以便在不將檔案留在磁碟上的情況下分發Revenge RAT樣本。
此活動的初始感染媒介是帶有Office巨集的Microsoft Office Excel工作表，該巨集使用mshta.exe來執行指令碼，這些指令碼嵌入在特製的blogspot.com頁面的HTML中。頁面29 [.] html包含兩個不同的指令碼部分。指令碼建立計劃任務，還可以獲取、解碼和執行Revenge RAT的副本。
三、深入分析
在圖1所示的示例指令碼中，第一個任務（“MS-OFFICE”）設定為每10分鐘執行一個託管在pastebin上的輔助命令和控制位置的指令碼（urGHE2PF）。
圖1：29[.]html上的程式碼排程第一個任務——執行pastebin上的一個指令碼
圖2中的第二個任務（“MSOFFICEER”）每100分鐘運行同一部落格blog-page[.]html上不同頁面的指令碼。
圖2：去混淆程式碼排程第二個任務——執行嵌入在部落格頁面中的指令碼
嵌入在29[ .] html中的指令碼的最後一節下載Revenge RAT並將二進位制檔案注入正在執行程序的記憶體中，如圖3所示。
圖3：嵌入在29[.]html中的指令碼程式碼用於下載和執行Revenge RAT
圖4中顯示的指令碼幾乎與29 [.] html（圖3）中指令碼所使用的內容完全相同，唯一的區別是沒有睡眠命令和使用“forfiles”實用程式。
圖4：用於下載Revenge RAT並將二進位制檔案注入記憶體的類似程式碼
最後，blog-page [.] html的指令碼安排相同的任務（“MSOFFICEER”）來執行自己。此例項中使用的Revenge RAT不會釋放到磁碟，而是使用“Reflection.Assembly” PowerShell命令載入到程序的記憶體中。 類似的方法也用於執行命令和控制位置的指令碼，而不是將指令碼釋放到磁碟然後執行。通過排程任務在記憶體而不是磁碟上執行指令碼和二進位制檔案，威脅行為者可以規避某些傳統的檢測方法。
四、隱藏的內容
此活動中使用的主要命令和控制位置託管在blogspot [.] com上的部落格上，該部落格使威脅行為者能夠將其惡意內容隱藏在合法服務之後。即使在瀏覽器中直接訪問網頁，也沒有任何可見的惡意內容（圖5）。
圖5：在瀏覽器中訪問時blog-page[.]html網頁
惡意內容無法在瀏覽器中執行; 它僅在使用mshta.exe時執行，這也會阻止大多數Web除錯程式識別內容。只有通過檢視這些頁面的原始碼，才能看到惡意內容（圖6）。
圖6：嵌入在blog-page [.] html網頁中的指令碼
如圖7所示，解碼後圖6中所示的指令碼顯示了與我們在圖2中看到的相同的程式碼，該程式碼排程了頁面內容的執行。
圖7：與圖2相同的去混淆程式碼
blog-page[.]html中有一個指令碼的內容為空。通過反覆“自我排程”執行blog-page[.]html執行，威脅行為者確保他們新增到此空指令碼部分的內容也將被執行。指令碼自我排程以及反覆嘗試下載和執行Revenge RAT二進位制檔案會明顯加強此感染的永續性。 在這兩種情況下，威脅行為者可以根據需要，隨時修改託管內容，例如在基礎結構故障或有效載荷更改之時。頻繁檢查可確保快速執行所做的任意更改，重複嘗試執行Revenge RAT二進位制檔案幾乎可以確保，即使程序終止，RAT也將很快再次執行。
五、意義
複雜的感染鏈，冗餘的指揮和控制基礎設施，專注於維持永續性，並試圖規避檢測，表明此行動明顯高於平均水平。高水平的複雜性需要更高水平的專業知識和對企業面臨威脅的更多理解。 通過培訓員工警惕威脅，企業可以更好地保護自己。