深入解析Water Gamayun的攻击武器库与基础设施

摘要

Water Gamayun利用MSC EvilTwin零日漏洞（CVE-2025-26633）入侵系统并窃取数据，使用自定义载荷和数据外泄技术。此类攻击可能导致企业数据盗窃和业务运营中断，造成严重影响。

该威胁组织主要通过恶意配置包、签名的.msi文件和Windows MSC文件部署载荷，并利用IntelliJ的runnerw.exe等技术执行命令。

同时使用EncryptHub窃密程序变种以及SilentPrism和DarkWisp等后门程序维持持久性并窃取数据。这些恶意软件通过与C&C服务器通信执行命令和数据外泄，利用加密通道和反分析技术。

组织可通过及时补丁管理和高级威胁检测技术防范此类威胁。趋势科技客户可通过Trend Vision One™规则和过滤器获得针对CVE-2025-26633利用尝试的保护。

Water Gamayun（又称EncryptHub和Larva-208）是疑似俄罗斯的威胁组织，一直在利用2025年3月11日修补的MSC EvilTwin零日漏洞（CVE-2025-26633）。

威胁组织主要通过以下方式投递恶意载荷：

还发现了一种新的无文件攻击技术（LOLBin），攻击者利用IntelliJ进程启动器runnerw.exe代理执行PowerShell命令。

SilentPrism是一个PowerShell后门恶意软件，设计用于实现持久性、动态执行shell命令并维持对受损系统的未授权远程控制。

技术特征：

MSC EvilTwin加载器利用特制的Microsoft保存控制台（.msc）文件进行恶意软件部署。

执行流程：

DarkWisp是PowerShell后门和侦察工具，用于未授权系统访问和情报收集。

技术特点：

发现了五个信息窃取程序，包括三个自定义PowerShell载荷和两个已知恶意软件二进制文件：Stealc和Rhadamanthys Stealer。

变种分析：

所有变种都是开源Kematian-Stealer的修改版本，具有类似的功能和能力。

威胁组织使用82[.]115[.]223[.]182域托管恶意载荷和C&C基础设施。服务器端实现包括：

handle.py脚本功能：

趋势科技为客户提供以下防护：

Water Gamayun使用各种投递方法和技术，展示了其在危害受害者系统和数据方面的适应性。通过分析其工具库和C&C基础设施，我们能够全面了解其架构、功能和规避技术。

组织必须了解此类不断演变的威胁，并采取高级威胁检测和强大的网络安全措施。通过保持最新的威胁情报和采用主动防御策略，组织可以更好地保护自己免受此类威胁。