卡巴斯基安全研究人員發現，釘釘和微信等中國即時通訊應用的用戶是蘋果 macOS 版后門HZ RAT的目標。
卡巴斯基研究員 Sergey Puzan表示，這些文件“幾乎完全復制了 Windows 版后門的功能，僅在于有效載荷有所不同，該載荷以來自攻擊者服務器的 shell 腳本的形式接收” 。
HZ RAT于 2022 年 11 月首次由德國網絡安全公司 DCSO 記錄，該惡意軟件通過自解壓 zip 檔案或惡意 RTF 文檔進行分發，據推測是使用Royal Road RTF 武器化器構建的。
涉及 RTF 文檔的攻擊鏈旨在通過利用公式編輯器中存在多年的 Microsoft Office 漏洞 ( CVE-2017-11882 ) 來部署在受感染主機上執行的 Windows 版本的惡意軟件。
另一方面，第二種分發方法偽裝成合法軟件（如 OpenVPN、PuTTYgen 或 EasyConnect）的安裝程序，除了實際安裝誘餌程序外，還執行負責啟動 RAT 的 Visual Basic 腳本 (VBS)。
HZ RAT 的功能相當簡單，它連接到命令和控制 (C2) 服務器以接收進一步的指令。這包括執行 PowerShell 命令和腳本、將任意文件寫入系統、將文件上傳到服務器以及發送心跳信息。
鑒于該工具的功能有限，人們懷疑該惡意軟件主要用于憑證收集和系統偵察活動。
證據表明，早在 2020 年 6 月，該惡意軟件的首次迭代就已在野外被發現。根據 DCSO 的說法，該活動本身被認為至少從 2020 年 10 月開始活躍。
卡巴斯基發現的最新樣本于 2023 年 7 月上傳到 VirusTotal，它冒充了 OpenVPN Connect（“OpenVPNConnect.pkg”），一旦啟動，就會與后門中指定的 C2 服務器建立聯系，運行與 Windows 版本類似的四個基本命令:
執行 shell 命令（例如系統信息、本地 IP 地址、已安裝應用程序列表、來自釘釘、Google 密碼管理器和微信的數據）
將文件寫入磁盤
發送文件到 C2 服務器
檢查受害者的可用性
它于 2023 年 7 月被上傳到 VirusTotal，在研究時，與其他后門樣本一樣，沒有被任何供應商檢測到。安裝程序采用合法“OpenVPN Connect”應用程序的包裝器形式，而 MacOS 軟件包目錄 除了原始客戶端外還包含兩個文件：exe和 init。
Puzan 表示：“該惡意軟件試圖從微信獲取受害者的微信 ID、電子郵件和電話號碼。至于釘釘，攻擊者對更詳細的受害者數據感興趣：用戶所在組織和部門的名稱、用戶名、公司電子郵件地址和電話號碼。”
獲取微信數據
獲取釘釘數據
對攻擊基礎設施的進一步分析顯示，除位于美國和荷蘭的兩臺 C2 服務器外，幾乎所有 C2 服務器都位于中國。
除此之外，據說包含 macOS 安裝包（“OpenVPNConnect.zip”）的 ZIP 存檔是先前從一家名為 miHoYo 的中國視頻游戲開發商的域中下載的，該開發商以《原神》和《崩壞》而聞名。
目前尚不清楚該文件是如何上傳到相關域名（“vpn.mihoyo[.]com”）的，以及服務器是否在過去某個時間點受到攻擊。該活動的范圍也尚不確定，但經過這么多年，后門仍在使用，這一事實表明該活動取得了一定程度的成功。
Puzan 表示：“我們發現的 macOS 版本的 HZ Rat 表明，此前攻擊背后的黑客仍然活躍。該惡意軟件僅收集用戶數據，但之后可能會被用來在受害者的網絡中橫向移動，一些樣本中存在的私有 IP 地址就表明了這一點?！?/p>
技術報告:https://securelist.com/hz-rat-attacks-wechat-and-dingtalk/113513/
參考鏈接：
https://thehackernews.com/2024/08/macos-version-of-hz-rat-backdoor.html
粗略的寫個帖子，分享一下自己的「內網安全」學習經驗，不成體系，多多包涵，未完待續 ... :)
ailx10
網絡安全優秀回答者
網絡安全碩士
去咨詢
未完待續 ... :)
發布于 知乎 2022-06-11 23:52