1. 首頁 > 生活經驗 > >

最受歡迎的Windows工具之一實際上可能存在巨大的安全風險

知識經驗


最受歡迎的Windows工具之一實際上可能存在巨大的安全風險

文章插圖
【最受歡迎的Windows工具之一實際上可能存在巨大的安全風險】計算器是最基本(也是最有用)的Windows工具之一，被濫用以將惡意軟件加載到目標端點(在新標簽中打開)，研究人員發現 。ProxyLife專家發現Windows計算器工具可用于用Qbot感染設備，Qbot是一種已知的惡意軟件投放器 ， 用于在目標設備上傳遞CobaltStrike信標，這通常是勒索軟件攻擊的第一步 。
像往常一樣，攻擊從網絡釣魚嘗試開始 。威脅參與者將郵寄給受害者 ， 并附上一個HTML文件，然后下載受密碼保護的.ZIP存檔 。受密碼保護有助于有效負載避免被防病毒檢測到(在新標簽中打開)程式 。提取.ZIP存檔會顯示.ISO文件，這是一種復制物理CD、DVD或BD的數字文件格式 。掛載.ISO會產生四個文件：兩個.DLL文件(其中一個是Qbot惡意軟件)、一個快捷方式(冒充受害者應該打開的文件)和計算器程序(calc.exe) 。
該快捷方式只是調出計算器，但有趣的是：當計算器啟動時，它會查找正確運行所需的.DLL文件 。它不會在特定文件夾中查找它們，而是首先在與calc.exe相同的文件夾中查找它們 。這讓我們回到了受害者與計算器一起下載的兩個.DLL文件 。
運行計算器將觸發第一個.DLL文件，而該文件將觸發第二個，或者在這種情況下-Qbot惡意軟件 。
這種做法也稱為DLL側加載 。
還值得一提的是，這種攻擊不適用于Windows10或Windows11(在新標簽中打開) ， 但適用于Windows7，這就是攻擊者捆綁Windows7版本的原因 。該活動自7月11日以來一直處于活躍狀態，顯然，截至發稿時仍處于活躍狀態 。