G DATA 安全实验室（G DATA Security Lab）最近发现了一个利用流行代码托管平台 Bitbucket 部署著名远程访问木马AsyncRAT （RAT）的复杂恶意软件活动。报告称，攻击者采用了多阶段攻击策略，利用 Bitbucket 托管和分发恶意有效载荷，同时躲避检测。
图片来源：安全客
恶意软件操作员使用多层 Base64 编码来混淆代码，掩盖攻击的真实性质。报告解释说：“在剥开这些层级后，我们能够揭开整个事件的来龙去脉，以及我们在分析 AsyncRAT 有效载荷传输时发现的关键入侵指标（IOC）。”
- Bitbucket 作为软件开发平台的合法声誉使其成为网络犯罪分子青睐的目标。Bitbucket 资源库托管各种恶意有效载荷，包括 AsyncRAT。Bitbucket 这个流行的代码托管平台来托管恶意有效载荷，为传播恶意软件提供了 “合法性 ”和 “可访问性”。
攻击开始于一封包含恶意 VBScript 文件的钓鱼邮件，该文件名为 “01 DEMANDA LABORAL.vbs”，可执行 PowerShell 命令。这个初始阶段通过多层字符串操作和 Base64 编码混淆和传递有效载荷。
报告指出：“VBScript 构建并执行 PowerShell 命令，有效地将攻击过渡到下一阶段。”
在第二阶段，PowerShell 脚本从 Bitbucket 资源库下载一个文件。这个名为 “dllhope.txt ”的文件是一个 Base64 编码的有效载荷，它被解码为一个 .NET 编译文件，从而揭示了 AsyncRAT 恶意软件的真实本质。
一旦成功发送，AsyncRAT 就能让攻击者完全远程控制受感染的系统。
G DATA 的分析证实：“AsyncRAT 为攻击者提供了对受感染机器的广泛控制，使他们能够执行各种恶意活动。这些活动包括远程桌面控制、文件管理、键盘记录、网络摄像头和麦克风访问以及执行任意命令。”
报告还强调了攻击者利用反虚拟化检查来避免在沙盒环境中被发现。
G DATA 表示：“如果标志参数包含‘4’，代码就会检查是否存在 VMware 或 VirtualBox 等虚拟化工具，从而避免分析。持续性是通过多种机制建立的，包括修改 Windows 注册表和创建启动快捷方式，确保恶意软件即使在系统重启后也能保持活跃。”
转自安全客，原文链接：https://www.anquanke.com/post/id/300743
封面来源于网络，如有侵权请联系删除
