安天网络行为检测能力升级通告（20240317）

安天长期基于流量侧数据跟踪分析网络攻击活动，识别和捕获恶意网络行为，研发相应的检测机制与方法，积累沉淀形成了安天自主创新的网络行为检测引擎。安天定期发布网络行为检测能力升级通告，帮助客户洞察流量侧的网络安全威胁与近期恶意行为趋势，协助客户及时调整安全应对策略，赋能客户提升网络安全整体水平。

近期，研究人员发现，威胁行为者正在将恶意软件隐藏于SVG图像文件中，从而绕过检测，传递勒索软件、下载银行特洛伊木马，并分发恶意软件。研究人员在1月份观察到一个为期两个月的运动，该运动利用SVG文件传递Agent Tesla键盘记录器和XWorm远程控制木马(RAT)恶意软件。在2023年12月和2024年1月的Agent Tesla键盘记录器活动中，电子邮件包含附带的SVG文件，打开后传递嵌入的.zip归档。这些归档启动了一系列有效载荷下载，最终执行了Agent Tesla键盘记录器。威胁行为者修改了AutoSmuggle生成的SVG文件，以增强其欺骗能力。XWorm RAT运动呈现出不同的感染链。有些使用嵌入式链接导向SVG文件，而有些则直接使用附带的SVG文件。这些文件启动了包含用于执行XWorm RAT的有效载荷的.zip归档的下载。这些在运动中使用的SVG文件缺乏在Agent Tesla键盘记录器运动中观察到的复杂性，并在打开时呈现空白页。

同时，研究人员最近还观察到，攻击者在针对一名客户的钓鱼攻击中恶意利用了Dropbox。在一月份，攻击者通过发送包含恶意链接的钓鱼邮件，来自合法的Dropbox地址，进而威胁到了该客户的软件即服务(SaaS)环境。虽然邮件来源和Dropbox链接看似合法，但研究人员发现一个红旗信号：PDF文件中含有一个指向“mmv-security[.]top”域的链接，而这个域在该客户的环境中从未出现过，随后在1月29日再次发送邮件提醒用户打开之前共享的PDF文件。尽管Darktrace已将其归类为垃圾邮件，并应用锁定链接操作，但员工仍打开了邮件并点击了PDF文件中的链接，最终导致与恶意端点建立了连接。这导致了用户关联的内部设备的安全受到威胁，研究人员后来还发现了一系列可疑活动，包括多个异常的SaaS登录、使用VPN服务隐藏位置，以及在受损Outlook账户内创建电子邮件规则来隐藏恶意活动。

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期修改网络攻击行为特征涉及命令执行、文件上传等高风险，涉及回连C2、SQL注入等中风险。

本期安天网络行为检测引擎规则库部分更新列表如下：