开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

社区首页 >专栏 >Dangerouspassword ( Lazarus ) APT样本

Dangerouspassword ( Lazarus ) APT样本

作者头像

Khan安全团队

发布于 2022-04-02 03:14:41

发布于 2022-04-02 03:14:41

47400

代码可运行

举报

文章被收录于专栏：Khan安全团队Khan安全团队

运行总次数：0

代码可运行

Lazarus 正在开展诱骗受害者下载恶意文件。

ITW:a2c72d880a85e188a3c87462d52bc8ce

upload:SG

文件名：

Digital Asset Management Job Opportunities[.]zip

文件结构：

/Documents/Digital Asset Management Job Opportunities.pdf
/Systems/Password[.]txt[.]lnk

URL: hXXps://open.googlesheetpage.org/KcyRbGDJKRZoaLq8lHh8/C0sHwcGMH2/jnobmAFCMoY=

zip file password:2022

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2022-03-14，如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Khan安全攻防实验室微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体同步曝光计划，欢迎热爱写作的你一起参与！

评论

登录后参与评论

暂无评论

深度报告 | 揭秘朝鲜黑客组织Lazarus Group对加密货币的窃取手段

当前，世界各地安全公司、执法机关和情报机构都把Lazarus Group归因于朝鲜的国家支持黑客组织，随着Lazarus Group自身网络攻击工具的进化发展，它们可以轻松实施DDoS僵尸网络攻击和数据擦除攻击，达到破坏性目的，也能顺利开展特定公司网络和银行SWIFT系统入侵，使各种内部资料和大量资金唾手可得。本报告中，我们着重对Lazarus Group从未被外界披露的一个加密货币攻击工具集进行分析，该工具集被Lazarus Group广泛用于全球加密货币组织、个人和相关机构的入侵攻击。这个被称

FB客服

2018/02/24

2K0

深度报告 | 揭秘朝鲜黑客组织Lazarus Group对加密货币的窃取手段

[译] 威胁分析报告：10.Lazarus以ThreatNeedle家族攻击工业（BMP图片隐藏RAT）

apt-get 网络安全安全 tcp/ip

该专栏主要翻译国外知名安全厂商的APT报告，了解它们的安全技术，学习它们溯源APT组织和恶意代码分析的方法，希望对您有所帮助。当然，由于作者英语有限，会借助机翻进行校验，还请包涵！

Eastmount

2021/12/03

2K0

[译] 威胁分析报告：10.Lazarus以ThreatNeedle家族攻击工业（BMP图片隐藏RAT）

Lazarus针对COVID-19发起攻击

windows 网络安全安全

随着COVID-19影响持续升级，攻击者正在试图通过任何手段加速疫苗研发。有证据表明，Lazarus正在通过攻击与COVID-19研究有关的实体来获取此类情报。他们在9月底攻击了一家制药公司和COVID-19有关的政府部门。

FB客服

2021/02/07

9290

APT案例分析 | Lazarus利用ThreatNeedle攻击某工业

安全网络安全 tcp/ip windows

Lazarus Group[1]是一个源于朝鲜政府的威胁组织，由于其发起攻击的性质及其攻击行动中使用的各种攻击手法，现已被指定为高级持续性威胁。Lazarus Group至少从2009年就开始活跃，该组织是2014年11月对Sony Pictures Entertainment的毁灭性雨刮攻击的负责人，这是Novetta开展的名为“Operation Blockbuster”的活动的一部分。Lazarus Group使用的恶意软件与其他报告的活动有关，包括“Operation Flame”、“Operation 1Mission”、“Operation Troy”、“DarkSeoul” 和 “Ten Days of Rain”[2]。在2017年末，Lazarus Group使用磁盘擦除工具KillDisk攻击了中美洲一家在线赌场[3]。2020年中期，卡巴斯基研究团队发现Lazarus正在使用ThreatNeedle恶意软件家族对国防工业发起攻击[4]。

安全小王子

2021/05/11

2.5K0

APT29以“选举欺诈”为主题的网络钓鱼活动分析

网络安全 apt-get 编程算法 unix php

2021 年 5 月 25 日，Volexity 发现了一项针对位于美国和欧洲的多个组织的网络钓鱼活动。迄今为止，已观察到以下行业成为目标：

FB客服

2021/07/02

1.5K0

攻击者使用 VSTO 接替宏进行武器化攻击

windows server 网络安全安全 powershell .net

几十年来，VBG 宏代码都是攻击者的核心工具。但自从微软开始默认阻止来自互联网的 Office 文件的所有 VBA 宏，这一攻击途径受到了极大的压制。由于攻击面的减少，攻击者必须探索替代的攻击媒介。近期的许多研究表明，LNK 文件已经受到了攻击者的青睐。此外，VSTO（Visual Studio Tools for Office）文件也成为了重要的攻击媒介。什么是 VSTO？微软的 Visual Studio IDE 中提供了一个软件开发工具集 VSTO，通过 VSTO 可以支持在 .NET 中开发

FB客服

2023/02/24

9640

攻击者使用 VSTO 接替宏进行武器化攻击

疑似双尾蝎APT组织近期针对巴勒斯坦地区的攻击活动分析

教育 apt 函数计算机加密

概述双尾蝎（奇安信内部跟踪编号：APT-Q-63）是一个长期针对中东地区的高级威胁组织，其最早于2017年被披露。至少自2016年5月起，持续针对巴勒斯坦教育机构、军事机构等重要领域进行网络间谍活动，以窃取敏感信息为主的网络攻击组织，开展了有组织，有计划，有针对性的攻击。近日，在日常的威胁狩猎中捕获了该组织多起攻击样本，捕获的样本包括伪装成政治热点、教育相关的可执行文件诱饵，以及伪装成微软图像处理设备控制面板程序(ImagingDevices.exe)，此类样本运行后，将会释放展示正常的诱饵以迷惑受害者

FB客服

2023/03/30

2.9K0

疑似双尾蝎APT组织近期针对巴勒斯坦地区的攻击活动分析

[译] APT分析报告：08.伊朗APT34更新武器库——SideTwist变体

apt-get dns 网络安全安全 shell

该专栏主要翻译国外知名安全厂商的APT报告，了解它们的安全技术，学习它们溯源APT组织和恶意代码分析的方法，希望对您有所帮助。当然，由于作者英语有限，会借助机翻进行校验，还请包涵！

Eastmount

2021/12/03

9430

[译] APT分析报告：08.伊朗APT34更新武器库——SideTwist变体

[译] 威胁分析报告：11.深入了解Zebrocy的Dropper文档（APT28）

apt-get delphi 安全 vba https

该专栏主要翻译国外知名安全厂商的APT报告，了解它们的安全技术，学习它们溯源APT组织和恶意代码分析的方法，希望对您有所帮助。当然，由于作者英语有限，会借助机翻进行校验，还请包涵！

Eastmount

2021/12/03

1.4K0

[译] 威胁分析报告：11.深入了解Zebrocy的Dropper文档（APT28）

针对东欧国家大使馆与欧盟医疗机构的入侵

进程开发浏览器域名主机

研究人员发现名为 YoroTrooper 的攻击者自从 2022 年 6 月起就一直以东欧各国政府为目标进行攻击，目前尚未对该攻击者形成完整结论。 YoroTrooper 组织概述经过分析，该组织背后的攻击者应该是说俄语的人。但不并不一定居住在俄罗斯或者是俄罗斯的国民，毕竟受害者主要都在独联体国家中。另外在代码中也发现了部分西里尔文，表明攻击者也十分熟悉该语言。在某些情况下，攻击者攻击的是俄语设备，说明攻击目标应该也是讲俄语的。攻击者注册了许多恶意域名，有子域名包含的也有包含错别字的，以此来诱导欺骗

FB客服

2023/04/06

4860

针对东欧国家大使馆与欧盟医疗机构的入侵

RomCom 攻击者使用投毒的应用程序攻击乌克兰与英国

网站部署服务服务器软件

被称为 RomCom 的攻击者正在利用 SolarWinds、KeePass 与 PDF Technologies 等公司的软件作为诱饵，开展一系列的攻击行动。研究人员发现攻击者通过虚假软件针对乌克兰军事机构发起攻击，并且投递 RomComRAT 远控木马。 RomCom 在攻击行动中仿冒了 SolarWinds Network Performance Monitor、KeePass Open-Source Password Manager 与 PDF Reader Pro 这几款软件。根据恶意网站的服务

FB客服

2023/03/29

5110

RomCom 攻击者使用投毒的应用程序攻击乌克兰与英国

Armor Piercer：针对南亚次大陆的网络攻击已经开始

http jquery php https 安全

思科最近发现了一个针对印度政府和军事人员的攻击活动，攻击者使用了两个商业 RAT（NetwireRAT 和 WarzoneRAT）。攻击者将诱饵文件伪装成与印度政府基础设施运营相关的指南，指南以恶意 Office 文档和压缩文件（RAR、ZIP）等形式出现。

FB客服

2021/10/11

1.7K0

解码Gh0st RAT变种中的网络数据

在今年3月份的一次取证调查中，我们找回了一些文件。经过我们初步的判定，这些文件极有可能与一个知名组织Iron Tiger有关。

FB客服

2018/07/30

1.1K0

AveMaria 传播手段的变化

安全网络安全 powershell vbscript

AveMaria 是一种最早在 2018 年 12 月出现的窃密木马，攻击者越来越喜欢使用其进行攻击，运营方也一直在持续更新和升级。在过去六个月中，研究人员观察到 AveMaria 的传播手段发生了许多变化。 2022 年 12 月攻击行动研究人员发现了名为 .Vhd(x)的攻击行动，攻击者使用了虚拟硬盘文件格式进行载荷投递。针对哈萨克斯坦官员的攻击攻击链攻击者冒充俄罗斯政府的名义发送会议通知的钓鱼邮件，带有 .vhdx附件文件。恶意邮件执行附件文件后，会创建一个新的驱动器。其中包含恶

FB客服

2023/02/24

8270

AveMaria 传播手段的变化

I Am The King恶意软件家族分析

网络安全 powershell c++json apt-get

2020年10月1日，DHS CISA发布了SlothfulMedia恶意软件家族信息；2018年6月，研究人员基于未知家庭恶意软件样本中的字符串发，布了名为IAmTheKing家族的第一份报告。

FB客服

2020/11/06

2.2K0

I Am The King恶意软件家族分析

原创Paper | 韩美大规模联合军演挑衅升级？朝方 APT 组织近期攻击活动分析

打包安全 apt bat 数据

2023年8月，知道创宇404高级威胁情报团队在日常高级威胁狩猎中发现朝方APT组织针对韩方攻击活动有明显的增长，相较于以往的常态化热点攻击来看，本次8月份攻击活动更偏向于大范围批量攻击活动。

Seebug漏洞平台

2023/09/19

4440

原创Paper | 韩美大规模联合军演挑衅升级？朝方 APT 组织近期攻击活动分析

信息窃密木马入局新玩家：ExelaStealer

开源函数进程数据系统

2023 年，信息窃密木马纷纷涌现，既有 RedLine、Raccoon 和 Vidar 等这个市场中的重要玩家，也有 SaphireStealer 等刚入局的新玩家。近日，研究人员发现了新的信息窃密木马：ExelaStealer。ExelaStealer 最早在 2023 年 8 月被披露。

FB客服

2023/11/16

2340

信息窃密木马入局新玩家：ExelaStealer

WSP ( CVE-2022-24934 ) APT

编程算法 ide 分布式 http https

我们最近发现了一个APT我们正在调用的活动Operation Dragon Castling。该活动的目标是似乎在投注的公司South East Asia，更具体地说是位于Taiwan、Philippines和的公司Hong Kong。有了适度的信心，我们可以将活动归因于一个Chinese speaking APT group，但不幸的是不能将攻击归因于特定的群体，并且不确定攻击者的目标是什么。

Khan安全团队

2022/03/25

4.8K1

Quantum Ransomware

https github git 开源网络安全

在我们之前观察到的速度最快的勒索案例之一中，在不到四个小时的时间里攻击者就从初始访问变成了域范围内的勒索，而且该初始访问向量是通过电子邮件传递的IcedID有效负载，我们已经观察到IcedID恶意软件被各种勒索软件团体用作初始访问，我们以前的一些案例包括:

Al1ex

2022/09/07

1.7K0

Quantum Ransomware

一个 .net 病毒的分析过程

.net powershell windows shell

本次样本为 Lnk 文件，内嵌了一个 Powershell 脚本，用于后续的释放和攻击……

信安之路

2018/12/06

1.7K0

一个 .net 病毒的分析过程

相关推荐

深度报告 | 揭秘朝鲜黑客组织Lazarus Group对加密货币的窃取手段

更多 >

加入讨论

的问答专区 >

本文部分代码块支持一键运行，欢迎体验

本文部分代码块支持一键运行，欢迎体验