着急旅游？攻击者已经盯上你

　　在疫情之前，热爱旅行的你可能在波光粼粼的沙滩边、可能在异域风情的丛林中、可能在白雪皑皑的山峰上。但自从疫情来袭，旅行似乎已经成为了一种奢望。当下，各国政府正在逐渐放松管控限制，包括取消旅行限制。正是大家对旅行的热切期盼空前高涨，攻击者也借助这种议题来传播恶意软件。本文介绍几例最新发现的此类攻击。AsyncRAT1
　　安全研究人员最近发现了一个名为itinerary。zip的恶意文件，该文件部署在dc5b163123142137。ngrok。io上。
　　压缩文件中包含一个名为Itinerary。pdf。exe的文件，该文件是一个伪装成PDF文件的可执行文件。将可执行文件扩展名隐藏在超长的文件名后，是攻击者持续多年的技巧。研究人员猜测，攻击者是通过旅行相关的电子邮件或者网站引诱受害者下载恶意文件的。
　　运行恶意文件后，就会安装。NET编写的远控木马AsyncRAT，其CC服务器为znets。ddns。net和dnets。ddns。net。为阻碍分析，恶意样本使用了多个。NET混淆工具，例如Xenocode、Babel、Yano、DotNetPatcher、CryptoObfuscator、Dotfuscator、SmartAssembly、Goliath、NineRays和198ProtectorV2。
　　该恶意域名下，还部署了traveldetails。iso、activityanddates。iso和Itinerary。exe文件。这些恶意样本也都是连接到相同CC服务器的AsyncRAT变种。AsyncRAT2
　　自从Windows8开始，系统原生支持ISO文件，这也为攻击者提供了另一个攻击渠道。
　　另外，MOTW强制要求下载文件必须在安全位置运行。带有MOTW标记的文件，需要经过额外的安全检查，如调用MicrosoftDefender的SmartScreen或者其他杀软引擎扫描。而ISO文件格式可以避免被MOTW标记，也就能躲开扫描（T1553。005）。
　　一旦挂载ISO文件，就可以执行其中的EXE文件触发AsyncRAT。
　　挂载文件
　　例如另一个AsyncRAT样本Bookingdetails。exe于2022年2月上旬被发现。所有这些样本都以旅行为主题，这意味着攻击者主要针对旅行者发起攻击。NetwireRAT
　　FlightTravelIntineryDetails。js被部署在DiscordCDN上，根据文件名来看，该JavaScript文件可能是通过电子邮件中的恶意链接或者与旅行主题相关的附件文档分发的。
　　JavaScript文件最终会释放NetwireRAT的变种，CC服务器为kingshakes1。linkpc。net。该CC服务器最迟在2021年5月以来就已经被NetwireRAT所使用。QuasarRAT
　　研究人员发现一个针对哥伦比亚军事组织的鱼叉邮件攻击，邮件主题为SolicituddeReservaparaMayo2022（意为2022年5月的预订请求）。
　　电子邮件
　　电子邮件中表示想要预定五间客房，入住一周。在附件中提供了预定详情。本次攻击中ISO文件中使用的是QuasarRAT远控木马，该木马支持：键盘记录
　　从Web浏览器FTP客户端窃取密码
　　上传下载文件
　　执行文件
　　收集系统信息
　　远程桌面
　　编辑注册表
　　挂载文件
　　QuasarRAT远控木马的CC服务器为openseauserreward。serveusers。com，根据遥测没有发现任何与该域名的连接，这可能表明攻击并未成功。
　　与该木马共用CC服务器的另一个QuasarRAT木马，是在发现针对哥伦比亚军队攻击的第二天在中国香港发现的。结论
　　本文中介绍的攻击都并不复杂，但是攻击者利用人们在疫情隔离后热切期盼旅行的心情进行攻击。