安天网络行为检测能力升级通告（20240331）

安天发布报告

近期，安天CERT监测到通过GitHub传播窃密木马的攻击活动。攻击者在其发布项目的环境依赖文件requirements.txt中添加恶意URL，以获取其恶意篡改的流行开源模块，从而在受害者电脑中植入窃密木马。攻击者使用空格将恶意代码掩藏在该行代码的末尾，以避免被用户察觉；并使用多种手段对恶意代码进行混淆处理，以规避安全产品检测、阻碍安全人员分析。经过多层脚本载荷的传递后，将执行一种由Python编写的窃密木马。该窃密木马会在受害主机中窃取浏览器、社交平台、加密货币钱包、游戏客户端中的敏感信息，并针对目标路径中匹配关键词的文件夹及文件进行窃取，最终将窃密数据回传至C2服务器或上传至文件共享平台Gofile中。在此次攻击活动中，攻击者在自己发布的项目中引入经过恶意篡改的流行开源模块，从而传播窃密木马。对流行的开源项目进行篡改，在其中添加恶意代码后重新打包并在发布的项目中进行恶意引用，已经成为一种攻击方式，用户很难察觉环境依赖文件中是否存在异常。

黑客利用假谷歌站点传播AZORult木马病毒

近期，研究人员发现了一种新的恶意软件活动，攻击者通过制作伪造的谷歌站点页面，并采用HTML走私技术，传播一种名为AZORult的商业恶意软件以窃取信息。研究人员发布的报告中指出，这种钓鱼活动尚未归咎于特定的威胁行为者或团伙，但已广泛展开，目的是收集敏感数据并在黑市论坛出售。AZORult是一种信息窃取软件，最初于2016年被检测到。它通常通过钓鱼和垃圾邮件活动、为盗版软件或媒体植入的特洛伊木马以及通过恶意广告传播。一旦安装，它就能够收集来自Web浏览器的凭据、cookie和历史记录、屏幕截图、匹配特定扩展名的文档(例如.TXT，.DOC，.XLS，.DOCX，.XLSX，.AXX，和.KDBX)，以及来自137种加密货币钱包的数据。在最新的攻击活动中，攻击者创建了伪造的谷歌文档页面，并使用HTML走私技术传递恶意载荷。当受害者被诱导打开钓鱼邮件中的欺骗性页面时，浏览器就会解码脚本并在主机设备上提取有效载荷，有效绕过了常规安全控制。此次AZORult活动通过增加验证码障碍，不仅增加了合法性的外表，还充当了针对URL扫描器的额外保护层。