译者：知道创宇404实验室翻译组
原文链接：https://www.trendmicro.com/en_us/research/20/k/weaponizing-open-source-software-for-targeted-attacks.html

前言

由于采用了合法的非恶意软件的外观，木马开源软件隐蔽且有效的攻击很难被发现。但通过仔细调查可发现其可疑行为，从而暴露其恶意意图。

开源软件如何木马化？我们如何检测到它们？为了回答这些问题，让我们看一下最近的相关调查。

调查

我们发现一个名为notepad.exe的文件。众所周知，记事本是合法的应用程序。但某些黑客使用诸如notepad.exe之类的合法名称进行伪装以规避检测。

notepad.exe文件是通过ntoskrnl.exe删除的，它是Windows NT操作系统内核可执行文件的简称。这可以通过利用ntoskrnl.exe或通过网络共享来完成。根据我们获得的遥测数据分析，它很可能是后者。RCA表明，此恶意notepad.exe文件通过调用以下工具进行了可疑操作：

notepad.exe文件指向这些进程及其功能的链接表明，该文件是典型的后门程序，可从恶意远程用户获取命令。但是，有些事情引起了我们的注意。notepad.exe的文件属性中列出的详细信息如下所示：

文件描述、产品名称和原始文件名提到Notepad++是一种用作源代码编辑器的开源软件，文件的某些详细信息是可疑的。例如，文件通常不被命名为“notepad.exe”。4月份发布的v7.8.6版本也已经过时了，截至撰写本文时，最新版本是于11月初发布的v7.9.1。

执行有问题的文件将显示以下内容：

该文件的用户界面外观和功能令人信服，类似于典型的合法Notepad++文件。初步外观没有发现任何可疑之处。但是就行为而言，我们发现该示例执行了非恶意文件不会执行的操作：它在c：\ windows \ debug文件夹中搜索名为config.dat的文件。由于上述文件在样本代码分析中显示出来，因此这种行为非常明显。

代码分析

反编译此恶意Notepad++文件的代码将显示以下代码：

下面显示了从典型的非恶意Notepad++文件中提取的代码片段：

这些代码段具有许多相似之处，但恶意Notepad++文件具有其他代码，这些代码会加载加密的Blob文件（config.dat），该文件会解密该代码并在内存中执行该代码，以便它可以执行其后门例程。这使我们想起了例如PLUGX恶意软件类型。

我们观察到两个使用相同加载器和不同负载的实例。其中一个有效负载被检测为TrojanSpy.Win32.LAZAGNE.B，另一个有效负载被检测为Ransom.Win32.EXX.YAAK-B（Defray勒索软件）。调查还发现其他具有相同加载程序的Blob文件会导致不同的有效负载。

我们怀疑此事件中的文件的攻击具有针对性。在初始计算机被感染后，通过管理员共享传播恶意的notepad++和config.dat 变得很容易。

武器化开源软件

由于与合法的 Notepad ++ 文件极为相似，被分析的样本很容易被误认为是非恶意文件。黑客通过对开放源代码软件进行木马化来掩饰这种情况。因此任何人（包括黑客）都可以访问其源代码。

黑客可以寻找被广泛使用的软件开源代码，并通过添加恶意代码使其木马化，这些恶意代码可以执行诸如加载加密blob文件之类的功能。这意味着生成的文件的大多数二进制代码且非恶意的，而恶意代码只是加载文件，这种活动似乎不太可疑。此外，加密的Blob文件没有文件头，使反恶意软件（包括基于AI / ML的解决方案和仅关注单个保护层的解决方案）难以检测到。为了阻止此类威胁，安全团队的以下建议将很有帮助。

建议

用户应从受信任的合法渠道下载文件、应用程序和软件（例如开源软件），以避免此类威胁。例如，Notepad ++用户可以从其官方网站下载相关文件；企业可以创建并向其员工分发批准的下载站点列表；公司可以规定：经过IT团队的批准，员工才能在办公设备上安装软件。安全团队建议验证下载的二进制文件；使用Trend Micro™ XDR，它可以跨端点、电子邮件、云工作负载和网络收集并关联数据，从而提供更好安全保障。

IOCs

Hashs

本文由 Seebug Paper 发布，如需转载请注明来源。本文地址：https://paper.seebug.org/1429/