注册
登录
| 关键词： GuLoader 进程 文件 载荷 十六进制 密钥 恶意 通常 代码 映像 |
2019年12月，网络安全公司Proofpoint的研究人员发现了后来被他们命名为“GuLoader”的新型恶意软件下载器。在当时，GuLoader主要被用于下载Parallax，一种远程访问木马（Remote Access Trojan，RAT）。 虽然是恶意软件下载器家族中的新成员，但GuLoader很快便得到了广泛应用，被大量的网络黑客用于传播远程访问木马以及信息窃取程序，包括Agent Tesla/Origin Logger、FormBook、NanoCore RAT、Netwire RAT、Remcos RAT和Ave Maria/Warzone RAT等。 技术分析根据Proofpoint研究人员的说法，GuLoader是一个PE文件（可移植可执行文件），其中涉及到Visual Basic 6打包程序的使用。 GuLoader多被嵌入在.iso或.rar文件中，其主函数包含了一些shellcode（能够利用软件漏洞而执行的代码）。  为了使对它的分析变得困难，GuLoader使用了相对复杂的注入技术，这包括：
下载的文件由64个十六进制数字组成，后跟一个XOR编码的PE可执行文件，其中XOR密钥就存储在shellcode中。  有效载荷的URI路径和下载的文件名通常采用“ 下载的有效载荷包含如下内容：
 值得注意的是，经加密的有效载荷通常存储在包括Google Drive和Microsoft OneDrive在内的合法网盘中。换句话来说，恶意软件是直接从各种合法的云存储平台下载的。 在GuLoader的早期版本中，XOR密钥固定为96个字节。但在更高版本中，密钥明显变长，通常为512-768字节长，这也就导致对它的分析变得更为棘手。 结语恶意软件下载器是计算机病毒的一种，虽然它们并不会直接对你的计算机造成损害，但它们却可以将能够造成各种损害的病毒下载到你的计算机上。可以说，它们比其他病毒更加值得注意。 借助Google Drive和Microsoft OneDrive来传播计算机病毒，GuLoader让我们再一次看到了合法云服务如何轻易遭到滥用，如何沦为网络黑客的“帮凶”。毫无疑问，广大云服务提供商们应该有所行动了。 |
| 本文出处： https://www.toutiao.com/a6800916173119554051/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
