Car-tech

보안 업체 AlienVault의 연구원은 PlugX 원격 액세스 트로이 (RAT) 프로그램으로 대상 컴퓨터를 감염시키는 데 사용되는 최근에 발견 된 Internet Explorer 익스플로잇의 변종을 확인했습니다.

Threat actors Sideloading - PlugX General Walkthrough

Threat actors Sideloading - PlugX General Walkthrough
Anonim

보안 연구소의 에릭로만 (Eric Romang)이 알려진 악의적 인 서버에 주말에 처음 발견되었으며 포이즌 아이비 RAT를 배포했습니다. AlienVault 연구원이 발견 한 두 번째 악용 버전은 다른 서버에서 발견되었으며 PlugX라는 새로운 RAT 프로그램을 설치합니다.

[추가 정보: Windows PC에서 악성 코드 제거 방법]

그러나 파일 수정 날짜는 두 서버 모두 적어도 9 월 14 일 이후로 두 버전의 악용 사례가 사용되었다고 제안합니다.

"Flowershow라고도하는 PlugX 맬웨어를 적극적으로 사용하는 그룹은 Internet Explorer ZeroDay [패치되지 않은 취약점을 악용] 밝혀지기 며칠 전에, "Blasco는 말했다. "새로운 발견 된 익스플로잇 코드의 유사성과 며칠 전에 발견 된 익스플로잇 코드의 유사성 때문에 같은 그룹이 두 인스턴스 뒤에있을 가능성이 매우 높습니다."AlienVault 연구원은 올해 초부터 PlugX RAT를 사용하는 공격을 추적 해 왔습니다.. 맬웨어 내부에서 발견되는 파일 디버그 경로를 기반으로 비교적 새로운 RAT는 잘 알려진 중국 해커 그룹 인 Network Crack Program Hacker (NCPH)와 이전에 관계가 있었던 WHG로 알려진 중국 해커에 의해 개발되었다고 생각됩니다.

AlienVault의 연구원들은 과거에 새로운 IE 익스플로잇을 제공했던 두 개의 추가 웹 사이트를 확인했지만, 그로부터 페이로드는 얻을 수 없다고 Blasco는 말했다. 하나는 인도의 국방 뉴스 사이트 였고 다른 하나는 아마도 제 2 인터내셔널 LED 전문 심포지엄 웹 사이트의 가짜 버전이었을 것이라고 그는 말했다. ("악의적 인 웹 애플리케이션: 어떻게 발견 할 것인가, 이길 방법"참조)

"이 0 일 뒤에있는 사람들은 특정 산업을 목표로 삼고있는 것으로 보인다"고 Blasco는 말했다.

원래 IE에서 악용 한 서버 지난 달 패치되지 않은 자바 취약점에 대한 익스플로잇을 저장했다. Java 악용은 보안 연구원이 "Nitro"라고 불리는 중국 해커 그룹에 기인 한 공격에 사용되었습니다. Microsoft는 이미 새로운 IE 취약점에 대한 보안 권고를 발표하고 패치로 작동하는 동안 임시 완화 솔루션을 권장했습니다.