安天网络行为检测能力升级通告（20250921）

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期新增检测规则47条，本期升级改进检测规则125条，网络攻击行为特征涉及漏洞利用、文件上传等高风险，涉及代码执行、代码注入等中风险。

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2025091907建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.4 及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。

近日，研究人员发现Maranhão Stealer，这是一种基于Node.js的窃密木马，利用了反射型DLL注入技术。攻击者正通过盗版软件、破解游戏启动器和作弊程序传播Maranhão Stealer，该恶意软件使用Node.js编写，并打包成一个Inno Setup安装程序。根据目前收集到的情报，研究人员认为该恶意软件自2025年5月以来一直活跃，并且仍处于开发阶段。它通过注册表项和计划任务建立持久性，将有效载荷设置为隐藏属性，并执行详细的主机侦察，包括硬件、网络和地理位置分析。如凭据、Cookie、浏览历史记录和钱包数据等敏感信息，该恶意软件是通过对浏览器进行反射型DLL注入来窃取的，从而绕过了像AppBound加密这样的保护措施。

此外，研究人员发现了多起利用ITarian（又名Comodo）、PDQ、SimpleHelp和Atera等远程监控和管理（RMM）工具进行的攻击活动。RMM工具常被IT专业人员用于远程访问、系统监控和机器管理，但这些工具也会被攻击者恶意利用于攻击活动中。攻击者通常会以隐蔽的方式使用RMM工具，以在不触发警报的情况下维持对受害系统的控制。他们通过手动操作来调整行为，使其看起来像日常管理员活动，从而增加检测难度。研究人员发现了四种常见的诱饵主题：虚假的浏览器更新、会议邀请、派对邀请、虚假的政府表格。