恶意软件伪装成系统更新，通杀Win Mac Linux三大系统
cac55 2024-11-20 12:53 12 浏览 0 评论
晓查 发自 凹非寺
量子位 | 公众号 QbitAI
能同时攻击Windows、Mac、Linux三大操作系统的恶意软件出现了。
虽然“全平台通杀”病毒并不常见，但是安全公司Intezer的研究人员发现，有家教育公司在上个月中了招。
更可怕的是，他们通过分析域名和病毒库发现，这个恶意软件已经存在半年之久，只是直到最近才被检测到。
他们把这个恶意软件命名为SysJoker。
SysJoker核心部分是后缀名为“.ts”的TypeScript文件，一旦感染就能被远程控制，方便黑客进一步后续攻击，比如植入勒索病毒。
SysJoker用C++编写，每个变体都是为目标操作系统量身定制，之前在57个不同反病毒检测引擎上都未被检测到。
那么SysJoker到底是如何通杀三大系统的？
SysJoker的感染步骤
SysJoker在三种操作系统中的行为类似，下面将以Windows为例展示SysJoker的行为。
首先，SysJoker会伪装成系统更新。
一旦用户将其误认为更新文件开始运行，它就会随机睡眠90到120秒，然后在C:\ProgramData\SystemData\目录下复制自己，并改名为igfxCUIService.exe，伪装成英特尔图形通用用户界面服务。
接下来，它使用Live off the Land（LOtL）命令收集有关机器的信息，包括MAC地址、用户名、物理媒体序列号和IP地址等。
SysJoker使用不同的临时文本文件来记录命令的结果。这些文本文件会立即删除，存储在JSON对象中，然后编码并写入名为microsoft_windows.dll的文件。
此外，SysJoker收集之后软件向注册表添加键值HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run保证其持久存在。
在上述每个步骤之间，恶意软件都会随机睡眠，防止被检测到。
接下来，SysJoker将开始建立远程控制（C2）通信。
方式是通过下载从Google Drive托管的文本文件，来生成远程控制。
Google Drive链接指向一个名为“domain.txt”的文本文件，这是以编码形式保存的远程控制文件。
在Windows系统上，一旦感染完成，SysJoker就可以远程运行包括“exe”、“cmd”、“remove_reg”在内的可执行文件。
而且研究人员在分析期间发现，以上服务器地址更改了三次，表明攻击者处于活动状态，并监控了受感染的机器。
如何查杀SysJoker
尽管SysJoker现在被杀毒软件检测出的概率很低，但发现它的Intezer公司还是提供了一些检测方法。
用户可以使用内存扫描工具检测内存中的SysJoker有效负载，或者使用检测内容在EDR或SIEM中搜索。具体操作方法可以参见Intezer网站。
已经感染的用户也不要害怕，Intezer也提供了手动杀死SysJoker的方法。
用户可以杀死与SysJoker相关的进程，删除相关的注册表键值和与SysJoker相关的所有文件。
Linux和Mac的感染路径不同，用户可以在Intezer查询到这些参数，分析自己的电脑是否被感染。
参考链接：
[1]https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/
[2]https://arstechnica.com/information-technology/2022/01/backdoor-for-windows-macos-and-linux-went-undetected-until-now/
- 上一篇：VBA中的字典(一)
- 下一篇：字典学习第一课(6方法4属性)
相关推荐
- 终于，你可以在 iPhone 上玩《饥荒》了
-
继七月登陆iPad平台后，冒险生存游戏《饥荒》（Don'tStarve）经过两个月时间终于更新并适配了iPhone，此前我已就游戏在iPad上的表现写过详尽评测和上手攻略，故本文不再对游...
- 2025年最适合Macbook新手掌握的5个免费工具，效率立马飙升!
-
刚入手Macbook是否觉得操作不熟？担心新手期过长难以熟练提高效率？别担心！本文精选五款国区AppStore免费可下载的官方认证工具，所有选择均基于新手核心痛点与迁移成本考量，解决「系统维护」「操作...
- 苹果iOS 13.4和iPadOS 13.4正式更新，支持鼠标、键盘操作
-
智东西（公众号：zhidxcom）编|王颖智东西3月25日消息，苹果今天向用户推送了iOS13.4和iPadOS13.4系统更新通知。iPadOS13.4增加了对iPad鼠标和触控板的支持，...
- 苹果即将发布macOS 15 用户界面将迎来重大革新
-
苹果公司计划于6月举行的全球开发者大会（WWDC）上，震撼发布全新的macOS15操作系统。据CNMO最新报道，此次更新将彻底革新“菜单和应用程序用户界面”的排列方式，为用户带来全新的使用体验。ma...
- **Bartender 5:菜单栏管理神器**（菜单栏工具）
-
提供免费下载网站Mavom.cn**Bartender**让你可以隐藏、重新排列或移动菜单栏应用，保持桌面整洁。**主要功能：*****整理菜单栏应用**：随心所欲地隐藏或显示应用。***更新提醒...
- Mac用户必备!12款最实用的高效App，绝对值得收藏
-
作为一名数码博主，日常的工作不仅包括写文章，还涉及到大量的内容创作、视频编辑和资料管理。随着使用Mac的时间越来越长，我发现一台强大的Mac电脑，若没有合适的App加持，效果往往大打折扣。因此，我深入...
- 苹果电脑死机了按什么键（mac卡死按哪三个键）
-
苹果电脑以其卓越的性能和稳定的系统而闻名，但在使用过程中，偶尔也会遇到死机或应用程序无响应的情况。这时，掌握一些有效的强制重启或关闭方法就显得尤为重要。本文将详细介绍苹果电脑在死机时可以采取的几种处理...
- 怎么查看macbook硬盘是不是原装的
-
要查看MacBook的硬盘是否是原装的，可以采取以下几种方法：###通过系统信息检查1.**查看设备信息**：打开苹果菜单栏中的“关于本机”选项，然后选择“存储”或“磁盘工具”。这将显示你电脑上已...
- 苹果MacBook一定要进行的6个设置|新手必备省电技巧
-
一、MacBook省电设置技巧1、电池偏好设置打开“系统偏好设置”，选择“电池”，选择第二项“电池”，不同的系统版本和机型在这个界面会有所差别。勾选“使用电池电源时使显示屏略暗一些”，勾选“优化电池充...
- 在 Mac 菜单栏也能控制 HomeKit 家居设备
-
想要控制家里的HomeKit设备，我们可以利用Apple官方的家庭App。但在Mac上，家庭App不能算得上好用，不像iOS可以从控制中心直接操作，在Mac上必须打开家庭A...
- 苹果手机里这个图标是什么意思?原来这是个监听器!一直都不知道
-
不知道大家最近都有没有关注iPhone的新消息呢？iPhone11出来之后，不少小伙伴都被圈粉啦！小编不得不说绿色的那款是真好看啊！当然不仅是好看，用过苹果手机的小伙伴都知道，苹果手机里有很多超好用的...
- 如何解决苹果电脑弹出本地项目钥匙串提示?
-
Mac电脑使用的时候，因为通过iCloud同步钥匙串，或者是修改本地账户密码，会反复弹出某项目想要登录使用“钥匙串”的提示，且无法关闭的现象。那我们该如何解决呢？快和小编一起来看看吧！具体方法如下1....
- MAC小技巧:如何快速调整Dock栏的大小
-
苹果mac系统dock栏怎么缩小？想要自己调节一下dock栏的大小，该怎么调节呢？下面我们就来看看详细的苹果Mac电脑如何快速调整Dock栏的大小样式教程，需要的朋友可以参考下。1、在Dock栏右侧，...
- 新买了苹果电脑不会用?给小白的使用手册，MacOS入门必备
-
咱们很多小伙伴都是十几年甚至二十几年的Windows老用户了，如果换成苹果电脑，可能会一脸懵逼，一时间不知道怎么使用。毕竟苹果电脑搭载的是MacOS操作系统，除了系统界面和操作上有区别外，电脑键盘上有...
- 苹果macOS 15设置界面将迎来重大更新 更智能更美观
-
【CNMO科技消息】苹果计划在6月WWDC全球开发者大会上震撼发布macOS15。据CNMO了解，此次更新将彻底革新“菜单和应用程序用户界面”的排列方式。macOSVentura系统中的“系统设置...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)