1. 威客安全首页
  2. 安全资讯

旧瓶装新酒,中国黑客执行远程攻击

旧瓶装新酒,中国黑客执行远程攻击



据外媒报道,一批中国黑客正在用木马版应用程序取代目标Windows系统上的合法程序。

而这一版本允许他们获取账户的最高权限,远程执行操作。


借助NVIDIA获取初始权限



这个应用程序名叫Narrator,是Windows系统的屏幕阅读功能,能够带给视力障碍用户更好的导航操作,优化体验提高效率。

其他辅助功能程序包括屏幕键盘,放大镜,显示切换器和应用程序切换器。那么,这些黑客是如何获取初始访问权限的呢?

为了让用户在桌面上运行伪造的Narrator,黑客首先使用定制的开源PcShare后门版本来破坏系统。


他们使用DLL side-loading,内存注入和误导策略来确保隐身操作。

此外,借助合法的NVIDIA Smart Maximise Helper Host应用程序,可以在目标系统上获得后门。

此程序也被用于加载恶意DLL,将其加载到“ rundll32.exe”的内存中并执行。

旧瓶装新酒,中国黑客执行远程攻击

该恶意软件的初始目的是在电脑上获取初步的立足点,为更深层次的攻击打下基础。


利用Narrator进行远程攻击



由于用户使用程序的登录过程中带有系统权限,这导致远程攻击者可对其进行修改,在远程桌面屏幕上生成一个提升权限的命令提示(vmd.exe)窗口。

尽管这类攻击并不新鲜,但中国黑客采用了一种全新的方法。

此前也有其他攻击者试图利用Narrator,但都做得很差。而这次的攻击中,伪造的程序取代了真正的Narrator,并且使用一个隐藏的窗口来启动它,使伪造软件变得以假乱真。

当用户在界面输入正确的密码后,隐藏的窗口将会变为可见,攻击者就可以利用这种方法来提升权限以执行命令或者进行远程代码攻击。

旧瓶装新酒,中国黑客执行远程攻击


据推断,这批黑客可能是Tropic TrooperKeyBoy,这两个黑客组织在近五年来活跃在各地,利用恶意软件进行网络攻击。



* 图片来源:Bleeping Computer
* 本文由看雪编辑 LYA 编译自 Bleeping Computer转载请注明来源及作者。


旧瓶装新酒,中国黑客执行远程攻击



推荐文章++++

旧瓶装新酒,中国黑客执行远程攻击

会隐身的恶意软件,可绕过Google Play:是谁在背后操控全局?

最新版本 | 微软发布Windows Terminal1909,修复大量bug还有新功能

* 匿名黑客泄露vBulletin零日漏洞,波及全球数万站点

* Windows7用户不用慌,微软停止支持后,还有0patch修复漏洞

WannaCry两年后卷土重来,NSA遗留问题尚未解决






旧瓶装新酒,中国黑客执行远程攻击
公众号ID:ikanxue
官方微博:看雪安全
商务合作:wsc@kanxue.com


旧瓶装新酒,中国黑客执行远程攻击
“阅读原文”一起来充电吧!

原文始发于微信公众号(看雪学院):旧瓶装新酒,中国黑客执行远程攻击

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论

联系我们

4006-119-120

在线咨询:点击这里给我发消息

邮件:public@jinlongsec.com

工作时间:周一至周五,9:30-18:30,节假日休息

X