CRON#TRAP：利用模拟Linux环境的新型恶意软件攻击技术

2024-11-04 CRON#TRAP（模拟Linux环境）样本

2024-11-04 Securonix：CRON#TRAP：模拟Linux环境作为恶意软件部署的最新策略

攻击者通过网络钓鱼邮件中的恶意.lnk文件分发定制的QEMU模拟Linux环境。当执行时，该文件安装并启动QEMU实例来运行Tiny Core Linux后门，从而在受害者机器上实现隐蔽持久化。

.lnk文件激活PowerShell从大型隐藏zip存档中提取并运行已重命名为fontdiag.exe的QEMU。

该QEMU实例连接到C2服务器，通过大多数防病毒工具无法检测的模拟环境保持隐蔽存在。

模拟环境包含"PivotBox"设置，其中包含用于直接与主机交互的命令别名，命令日志显示SSH设置、有效负载执行和持久化配置等步骤。

攻击者使用从不常见目录重命名和执行的合法软件（QEMU），以及SSH密钥和脚本修改，确保可靠访问和最小化检测。

基于Chisel的后门crondx通过websockets建立安全的C2通道，实现加密数据泄露和进一步的有效负载部署。

下载下载。如果您需要密码方案，请通过电子邮件联系我。

文件信息

1
2
3
4
5
6
7
8


├── 002f9cd9ffa4b81301d003acd9fb3fbba1262e593b4f2e56a085b62a50e76510 start.bat
├── 0618bb997462f350bc4402c1a5656b38bedc278455823ac249fd5119868d3df4 OneAmerica Survey.lnk
├── 3e6a47da0a226a4c98fb53a06ec1894b4bfd15e73d0cea856b7d2a001cada7e9 crondx
├── 82a9747485fdd60360d28cd73671f171a8312b7d68b26fe1e2d472eb97c4fe59 mydata.tar
├── 9a33ea831edf83cb8775311963f52299f1488a89651bd3471cc8f1c70f08a36c crondx
├── bc7a34379602f9f061bdb94ec65e8e46da0257d511022a17d2555adbd4b1dd38 FontDiag.zip
├── ce26aac9ba7be60bfb998ba6add6b34da5a68506e9fea9844dc44bafe3cab676 OneAmerica Survey.zip
└── f4229128ef642d299f7ab5fbcb6de75a17d12f30f22a3985044c8b1b44f1768f mydata.tar

恶意软件存储库链接

在博客存在的过去15年中，由于更严格的无恶意软件政策，许多托管提供商已停止支持。这导致链接失效，尤其是在较旧的帖子中。如果您在contagiodump.blogspot.com（或contagiominidump.blogspot.com）上发现失效链接，只需记下URL中的文件名并在Contagio恶意软件存储中搜索即可。