有别于金融、政府环境使用windows及其配套设施，国内互联网公司基础设施独钟情于linux系统，互联网公司遭遇的信息安全事件，如数据泄露，黑客入侵，竞争对手行为等，均有linux恶意文件的身影作祟。
概述： KONNI是一类远控木马病毒，很早之前就由思科Talos团队披露过。在2014年的时候就开始活跃起来了。针对的主要攻击对象有俄罗斯、韩国等地区。在PaloAlto团队的研究中发现此类木马病毒家族与Nokki有很多相似之处，疑似这个与东亚的APT组织存在关联性。此后Konni被当做疑似具有东亚背景的APT组织。 暗影实验室根据捕获的样本发现，此样本仿冒安全软件，以检测用户设备安全情况为诱饵，诱导用户使用此软件。用户安装应用之后向主控地址请求远控命令，获取用户联系人、短信、应用安装列表等信息，将获取的隐
在我们的印象里，黑产以及相关的肉鸡DDOS攻击总是离我们很远。可实际情况并非如此，特别是在云服务大行其道的今天。 日前，腾讯反病毒实验室就观察到了国内云服务中Gh0st远控新样本出现爆发式增长，并就此进行了分析溯源。在经过反病毒工程师一系列分析后，我们发现这些样本在云服务上的应用分为两种：1，使用大量低配置云服务器进行样本生成和分发，明显的典型黑产团队化操作行为。2，黑客利用漏洞进行渗透和传播病毒，然后控制肉鸡进行DDOS窥探隐私甚至批量注册等黑产攻击行为。 一方面，云服务质优价廉，可以低成本地进行混淆样本
近段时间APT预警平台(威胁分析平台)捕获了一些CVE-2017-11882的变化利用样本，这些变化利用能一定程度上绕过杀毒软件的检测。 这里列举两种变式。 样例1 该样本只有一个objdata
随着数字货币价值不断攀升，盗取用户计算机处理器的计算能力进行挖矿成为一门一本万利的暴利营生。自2017年爆发之后，近年来在挖矿木马全球范围持续活跃，每年都有大量主机和服务器被感染，已成为网络世界最主要的威胁之一。近日，腾讯安全发布《2019年度挖矿木马报告》，对挖矿木马种类、感染趋势、技术特点等进行全面分析，并有针对性地提出相关防御和处置建议。
近期，火绒威胁情报系统监测到一批盗版软件安装包正在通过伪造的官网进行传播，其中包含后门病毒，该病毒被激活后，黑客可以执行截取屏幕图像、远程控制等恶意行为。目前，火绒安全产品可对上述病毒进行拦截查杀，请用户及时更新病毒库以进行防御。
不知道你有没有遇到过马上线却不能操作的情况，我猜当你网络卡或马写得不好时会出现这个问题，但是人为的你可能没遇到过，首先要欺骗你的远控，得分析你的协议，如果你的马根本不是公开的。网络又是好的，你刚往人家机器里种马，发现马只能上线不能操作，绝对是马有问题，不能甩锅我。人家都不知道你的马的通信原理，流量特征，不可能事先准备好一个程序，让你一发就欺骗你的马。 本文主要研究CS这个APT很喜欢用的马，当然TCP的也一样原理，只要构造对应的数据包就可欺骗
点击链接，下载本实验项目以及相关工具，提取码：8189 一、实验目的
声明：本文由【MS509 Team】成员expsky原创，仅用于技术交流分享，禁止将相关技术应用到不当途径。 收到朋友的婚宴请帖后通常都要破费，而且不便躲避，所以请帖也俗称红色炸弹，而这次的红色炸弹真的就爆了！ 上面是发生在本月的一条短信，如果你从朋友那里收到如上这样一条短信，点击里面的电子请帖链接，会下载一个APK软件，如果继续点击了这个APK文件而且你又是安卓手机的话，那么你真的中弹了。 0×01 样本逆向分析 逆向了该手机木马样本绝大部分功能，让我们一起来看下红色炸弹是怎么爆
银行恶意软件一直都是我们暗影实验室关注的重点。近期，意大利出现了一种新型的Android恶意软件，研究人员发现它与目前已知的银行木马家族都不相关，命名这款新型的银行木马家族为TeaBot（也有命名为Anatsa）。
大家好，我是ABC_123。在几个月前，我反复研读国家计算机病毒应急处理中心的多篇报告及360安全公司发布的各种关于该事件的报道，再结合国外对于美国APT研究报告，花了半个多月的时间复盘了美国APT入侵中国西北工业大学的整个流程，详见《第58篇：美国安全局NSA入侵西北工业大学流程图梳理和分析(正式篇)》。随着对美国APT组织和武器库的进一步了解，ABC_123最近又有新的领悟和研究成果，本着“未知攻、焉知防”的道理，今天给大家讲一讲美国APT在入侵西工大过程中，所用到的5款远控后门。
前言 本月初微博上有知名大V晒出一封私信截图，私信是以某记者名义发出，要求采访该大V博主，并提供了一个网盘链接作为“采访提纲”。当博主下载网盘中存放的所谓“采访提纲”后，该文件被360安全卫士检测为木马进行清除。 我们根据截图中的网盘链接下载了伪装“采访提纲”的木马进行分析，发现这是来自于一个长期从事木马植入与数据窃取的不法黑客团伙，该团伙利用盗取或冒名的各类账号，对账号关联人发起攻击，木马功能包括录音、远程上传或下载任意文件、服务管理、文件管理、屏幕监控等，很明显是意图窃取数据进行勒索或售卖来谋取利益
【HA256】 ：3504ec84a6efb00010064e3abb1d0ae5e38883ce0abbd7c1ad7245eeb3a05bcd
近期观测到，Linux下DDG变种挖矿病毒又在全国范围内大规模爆发，该样本通过SSH爆破进行攻击，执行恶意程序，下 载伪装成图片的门罗币挖矿木马，设置为开机启动并在后台运行，木马在入侵计算机之后，以该计算机本地密钥登录known_hosts文件中的服务器进行横向渗透，攻击局域网中的其他机器并控制这些机器，使得这些无法正常提供业务，对该样本进行深入分析。
疫情还没有结束，放假只能猫家里继续分析和研究最新的攻击技术和样本了，正好前段时间群里有人说服务器被黑，然后扔了个样本在群里，今天咱就拿这个样本开刀，给大家研究一下这个样本究竟是个啥，顺便也给大家分享一些关于Linux Rootkit恶意软件方面的相关知识点吧。
--------------------转载自freebuf 微软的11月份的安全补丁包含了一个隐藏17年之久的Office远程代码执行漏洞（CVE-2017-11882），该漏洞影响目前所有流行的O
概述： GravityRAT是一款隐秘的间谍软件，从2016年开始就反复被用于针对印度的持续性攻击。在此期间，GravityRAT添加了很多新功能，尤其是文件渗透，远程命令执行，以及反VM技术，使其更难以检测，它可以非常快速地从受感染计算机中窃取大量数据，甚至可以扫描连接到受害设备的外部硬盘驱动器或USB，然后提取这些文件。之前GravityRAT比较注于计算机的恶意攻击，但是研究者发现该木马正增加针对macOS和Android平台的攻击。 近期，恒安嘉新暗影实验室App全景态势与情报溯源挖掘平台监测到一款
昨天incaseformat蠕虫病毒在全国爆发，各大安全厂商相继发布公告，安全产业似乎又迎来了新的发展机会……
前天，我写了一篇《赚了20亿美元GandCrab勒索病毒家族的故事》，其实里面还有很多内容我没有提及，在文章的最后，我留下了两段话：
2、在 Kali 终端输入以下命令在 Kali 虚拟机/root路径下生成远控文件520.apk：
近期，火绒威胁情报系统监测到有黑客团伙针对金融行业进行钓鱼攻击。用户点击钓鱼文件后，其会下载多个文件进行互相关联，随后黑客可以远程控制受害者电脑。不仅如此，该病毒还使用包括 "白加黑"，"加壳"，"代码混淆" 在内的多种方式对抗杀软查杀。目前，火绒安全产品可对上述病毒进行拦截查杀，请用户及时更新病毒库以进行防御。
近期，火绒安全团队截获蠕虫病毒“RoseKernel”。该病毒可通过远程暴力破解密码等多种手段全网传播。病毒入侵电脑后，会同时执行“挖矿”（门罗币）、破坏Windows签名校验机制、传播后门病毒等系列恶意行为。由于病毒会对同一网段的终端同时暴力破解密码，对局域网等机构用户（政府、企业、学校、医院）危害极大，截至到发稿前，已有数万台电脑被感染。目前“火绒产品（个人版、企业版）”最新版即可查杀该病毒。
近期，火绒安全实验室在日常威胁巡视中发现一 GitHub 仓库发布的项目存在病毒风险行为，火绒安全工程师第一时间提取样本进行分析。分析中发现样本会通过多种手段对抗杀软，并最终释放 Remcos 商业远控木马控制受害者机器，且病毒作者仍在积极开发当中。目前，火绒安全产品可对上述病毒进行拦截查杀，请广大用户及时更新病毒库以提高防御能力。
近期，毒霸监测到一款DDOS木马的感染量呈现出上升趋势，而同时呈现出相同增长趋势的，还有部分流氓软件。经过溯源分析，我们发现上述2类软件均来自上海奇陆网络科技有限公司的一款叫做“钱蜜省钱助手”的软件。
近期，火绒安全实验室发现了一起针对Linux系统的植入后门病毒攻击，经过分析确认该后门为BDFdoor的变种。
在红蓝对抗中，我们经常会碰到需要对Linux主机进行长期远控的情况。对于Windows主机，我们可以使用CobaltStrike，那么自然我们会想问，CobaltStrike能否对Linux主机进行长期远控呢？
默认情况下todesk日志文件保存在安装目录同级目录Logs下，在4.7以前的版本中，目录下有以service为首的文件以及以client为首的文件。其中service文件表示是被别人远控的日志。client文件表示是远控别人的日志。在4.7后的版本含4.7中，目录下不再存在以client为首的文件。
近日，腾讯安全威胁情报中心检测到有挖矿、远控黑产团伙利用向日葵远控软件RCE漏洞攻击企业主机和个人电脑，已有部分未修复漏洞的主机、个人电脑受害。攻击者利用漏洞入侵后可直接获得系统控制权，受害主机已被用于门罗币挖矿。
2012年以来，安天针对南亚次大陆方向的网络攻击进行了持续的跟踪与分析，追踪其攻击行动、溯源其幕后团伙，多年以来持续曝光相关攻击活动，震慑印方攻击组织。安天于2016年7月发布报告“白象的舞步——来自南亚次大陆的网络攻击”[1]；2017年12月发布报告“潜伏的象群—来自印方的系列网络攻击组织和行动”[2]；2019年5月发布报告“响尾蛇（SideWinder）APT组织针对南亚国家的定向攻击事件”[3]；2020年1月发布报告“折纸行动：针对南亚多国军政机构的网络攻击”[4]。
近期，360安全卫士监测到了一批通过微信群传播的远控木马，木马针对在网上倒卖微信号的人群定向投放。卖号人的交流群里时常有不同的小号在散播诱导性的木马程序，不知情的卖号人运行木马后，电脑上就被植入后门。
随着微软默认禁用宏代码策略的生效，越来越多的攻击者开始使用 OneNote 文档来分发恶意软件。本文介绍了几个使用 OneNote 文档的案例，展示了攻击者如何使用该类文件进行攻击。 为什么选择 OneNote 由于 OneNote 使用范围很广、用户对该类文件缺乏安全意识和保护措施，OneNote 文档对于攻击者来说已经成为越来越有吸引力的攻击载体。攻击者利用混淆内容与 OneNote 的受信任身份来进行攻击，这种转变的具体原因包括： 安全措施的增强：由于对基于宏代码的攻击认识不断提高，许多组织已经采取了
持续性的挖矿、远控后门等事件可以通过直接排查发现，但是在实际工作中，很多恶意行为（访问恶意域名、连接恶意IP）只集中出现了几次，无法直接通过网络连接找到恶意进程及文件或者有些恶意程序处置结束后，无法确定是否已经清理完整，所以需要有一个专门的章节来处理这类事件，我们将它命名为非持续性事件
一种 Au3 远控木马变种样本分析 0x01 Au3 简介 AutoIt3 （简称 Au3）是一种能够在Windows GUI 或 DOS 上实现一系列自动化任务的脚本语言，其语法类似BASIC。 使用 Au3 开发的程序，能够具有以下功能： 模拟击键和鼠标移动操作； 对窗口和进程进行操作； 与所有标准的 Windows 控件进行交互。 编译的独立可执行文件无需安装任何运行环境。 可创建图形用户界面（ GUI ）； 支持 COM ； 支持正则表达式； 可直接调用外部 DLL 和 Windows API
1、远控免杀专题(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg
被黑疑似进程（或 svchost.exe 长时间 50%-100%） 因近期网上大规模爆发Windows 漏洞 2003/2008/2012 等系统被黑的情况，且相关黑客工具获取非常容易本次漏洞基本包含了所有 Windows 系统，5 月 13 日 wana Decrypt0r 2.0 勒索软件爆发，大量计算机被黑和植入木马，且有被加密勒索。 通过这个大洞入侵后，勒索病毒还会与挖矿机（运算生成虚拟货币）、远控木马组团传播，形成一个集合挖矿、远控、勒索多种恶意行为的木马病毒“大礼包”，专门选择高性能服务器挖矿
2023 年 8 月 17 日，业界披露了 WinRAR 的远程代码执行漏洞，编号为 CVE-2023-40477。该漏洞细节发布四天后，一个名为 halersplonk 的攻击者在 GitHub 上部署了一个虚假的 PoC 脚本。该虚假的 PoC 脚本基于公开公用的 PoC 脚本（CVE-2023-251157），该脚本利用名为 GeoServer 的应用程序中的 SQL 注入漏洞进行攻击。在分析了该虚假 PoC 脚本后，研究人员发现该脚本最终会安装 VenomRAT 远控木马。
1.2、密码盗取木马:通过记录用户输入的键盘记录或屏幕截图方式窃取用户的密码或账号信息;
说明:百度的应急文章很多，在此不在介绍如何按照手册进行排查，只针对实战进行分析和排查。
很不幸，疫情再次出现反复。部分城市、街区被迫放慢脚步，企业只能选择远程办公、居家办公。通过有关新闻，我们看到这样的画面：
攻击者越来越多的采用云来构建自己的基础设施，这样不仅能够使攻击者以最少的时间或金钱部署攻击基础设施，也能让追踪攻击行动变得更困难。
蔓灵花（BITTER）是疑似具有南亚背景的APT组织，该组织长期针对中国，巴基斯坦等国家进行攻击活动，主要针对政府、军工业、电力、核能等单位进行定向攻击，窃取敏感资料。
导读：何为“间谍”？《说文解字》解释道：“谍，军中反间也。”使用反间计当然需要三寸不烂之舌，这是“谍”的本义。“间”怎么会跟“谍”联系起来了呢？“间”本来写作“闲”，清代文字训诂学家段玉裁为《说文解字》所作的注释说：“开门月入，门有缝而月光可入。”因此“间”的本义就是门缝，泛指缝隙，有缝隙就可以使用反间计了，故称“间谍”。
2022 年 5 月，警察联合执法摧毁了 Cabassous 的网络基础设施。与此同时，Anatsa 也逐渐销声匿迹，这都为安卓银行木马留出了市场空白。最初，Hydra 与 ExobotCompact（也称 Octo）填补了这一空白。而 Ermac 后来居上，目前与二者数量不相上下。 2021 年 9 月，研究人员发现了 Ermac 恶意软件家族，脱胎于臭名昭著的 Cerberus 家族。尽管 Hydra 的传播最广，但另外两个家族的传播力也一直保持在高位。 检出的恶意软件家族 Ermac 被其运营方公开
一、背景 云鼎实验室近期捕获到TeamTNT黑客团伙新的容器攻击活动。挖矿病毒通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团伙使用的挖矿木马，新变种对原挖矿木马进行了升级，在进行感染时使用了新的策略。 入侵后会先清理其他挖矿病毒，并使用新的方法隐藏进程，入侵完毕后会清理痕迹，覆盖系统日志以逃避排查，为增加挖矿木马植入的成功率还有备用挖矿程序，增加木马的稳定性，利用nohup命令防止挖矿进程被挂断，并且使用了LKM rootkit技术隐藏进程。 样本属于最新版
摘要 2016 年 5 月起至今，双尾蝎组织（APT-C-23）对巴勒斯坦教育机构、军事机构等重要领域展开了有组织、有计划、有针对性的长时间不间断攻击。 攻击平台主要包括 Windows 与 Andr
说起远控软件，大家的第一印象是什么？是能实现电脑控制电脑、手机平板控制电脑、或手机电脑控制另外手机的操作需求，还是TeamViewer、ToDesk、向日葵、微软桌面这类的产品名称？
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
