搜索引擎优化中毒运动传播Armorsteal恶意软件

摘要

一个SEO投毒活动使用伪造的网站，冒充Chocolatey和Microsoft Activation Scripts，以传播基于Python的恶意软件家族Armorsteal。该恶意软件包含远程访问、监视和信息窃取模块，旨在窃取敏感数据，包括加密货币钱包和浏览器凭证。攻击依赖于Pyarmor混淆并通过计划任务自动建立持久性。

调查

Zscaler威胁狩猎团队通过追踪被污染的搜索结果到仿冒域名，揭示了此次活动。分析人员观察到Python 3.11运行时的部署，并识别出用于验证命令的RSA-2048签名。调查还记录了C2基础设施的变化，因为威胁行为者在不同域名和托管服务提供商之间移动。

缓解

组织应在安全控制中阻止识别出的恶意域名和IP地址。防御者应调查终端设备中未经授权的计划任务和储存在Windows系统目录中的可疑文件。审查Microsoft Defender的排除项和教育用户验证合法软件下载来源也有助于降低接触此活动的风险。

响应

当检测到Armorsteal活动时，立即隔离感染的系统并移除未经授权的计划任务，例如SysCheck2和SysCheckX。在 C:WindowsSystemHealthUpdate 下寻找可疑文件，并审查PowerShell日志中的恶意下载。监控出站HTTPS流量中已知C2端点并检查启动了远程调试端口的浏览器进程。

模拟执行

• 攻击叙述和命令: 一个对手通过SEO投毒成功诱骗用户运行一个恶意脚本。目标是安装Armorsteal远程访问模块。为了规避检测，攻击者使用了一个名为 install.ps1 的PowerShell脚本，该脚本执行后创建一个欺骗性的目录结构 C:WindowsSystemHealthUpdate 以隐藏其组件，伪装成合法的Windows系统健康更新。

• 回归测试脚本：

  # 模拟Armorsteal安装模式
  # 步骤1：创建欺骗性的目录结构
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # 步骤2：模拟恶意安装程序的执行
  # 该命令旨在触发'selection_powershell'和'selection_directory'逻辑
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # 注：由于install.ps1可能不存在于本地，我们模拟命令行触发
  # 这就是Sigma规则实际上在寻找的。
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # 步骤3：在该目录中创建一个虚拟文件以触发'selection_directory'需求
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• 清理命令：

  # 删除模拟期间创建的恶意目录和文件
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force