EvilAI操作者使用AI生成代码和虚假应用进行广泛攻击 | Trend Micro (美国)
关键要点
- EvilAI伪装成生产力或AI增强工具，具有专业外观界面和有效数字签名，使用户和安全工具难以区分其与合法软件
- 基于遥测数据，EvilAI感染已出现在全球范围，欧洲影响最高(56起)，美洲和AMEA地区各29起
- 主要影响制造业(58起)、政府/公共服务(51起)和医疗保健(48起)等行业
- 窃取敏感浏览器数据并通过AES加密通道与C&C服务器保持实时通信
- Trend Vision One™通过检测IOC提供防护，客户可获得威胁狩猎查询和可操作威胁洞察
全球活动受害者分析
仅一周监控显示EvilAI恶意软件迅速扩散：
- 欧洲：56起事件
- 美洲：29起事件
- AMEA地区：29起事件
受影响国家前十
| 国家 | 数量 |
|---|---|
| 印度 | 74 |
| 美国 | 68 |
| 法国 | 58 |
| 意大利 | 31 |
| 巴西 | 26 |
受影响行业前十
| 行业 | 数量 |
|---|---|
| 制造业 | 58 |
| 政府 | 51 |
| 医疗保健 | 48 |
| 科技 | 43 |
| 零售 | 31 |
技术细节
伪装成合法软件的木马
恶意应用名称：
- App Suite
- Epi Browser
- JustAskJacky
- Manual Finder
- One Start
- PDF Editor
- Recipe Lister
- Tampered Chef
分发方法：
- 托管在新注册的模仿供应商门户的网站
- 使用恶意广告、SEO操纵和论坛推广下载链接
- 鼓励用户下载生产力、文档处理或AI增强功能工具
数字签名滥用： 观察到的数字签名包括：
- App Interplace LLC
- Byte Media Sdn Bhd
- Echo Infini Sdn. Bhd.
- GLINT SOFTWARE SDN. BHD.
AI用于防御规避
攻击者利用LLM生成干净、正常外观的恶意代码，避免触发静态扫描器。JustAskJacky恶意软件利用AI生成乍看合法的代码，使检测更加困难。
感染流程
Node.js恶意软件投递
应用程序触发通过Windows命令行静默启动Node.js的命令：
|
|
JavaScript文件通常以GUID后缀命名，结尾字符为"or"、“ro"或"of”。
持久化机制
计划任务：
创建名为sys_component_health_{UID}的计划任务，每天10:51触发，每4小时重复一次。
注册表项： 在Windows注册表Run键中添加PDFEditorUpdater，确保用户登录时执行。
开始菜单快捷方式： 在开始菜单程序文件夹中创建PDF Editor快捷方式。
系统侦察
WMI进程枚举： 使用PowerShell查询WMI对象枚举Chrome和Edge浏览器进程。
注册表查询： 查询安全产品和AV软件的注册表项，包括：
- Bitdefender
- KasperskyLabSetup
- G DATA ANTIVIRUS
- Fortinet
凭证窃取
浏览器数据复制： 创建Edge和Chrome浏览器配置文件的"Web Data"和"Preferences"文件副本，添加"Sync"后缀存储在同一目录路径。
恶意JavaScript文件分析
混淆技术
- 使用控制流扁平化进行多层代码混淆
- 使用Unicode转义序列编码所有函数名和字符串
- 使用无意义变量名
- 实现自清理技术
反分析循环
- 使用MurmurHash3 32位哈希生成不可预测的控制流条件
- 创建看似无限循环的结构，实际每循环只执行一次
- 在循环内动态构建关键字符串
- 采用双重哈希验证层增加分析复杂度
网络通信配置
C&C配置对象：
- domain：C&C服务器端点
- iid：唯一实例标识符，兼作加密密钥
- progress：JSON负载中的附加标识符
- version：通过URL发送的恶意软件构建版本
加密通信
AES-256-CBC加密：
- 使用实例ID派生加密密钥
- 数据在传输前进行base64编码
- 初始化向量(IV)为前32字节
后门命令
EvilAI的后门操作由中央命令处理功能驱动，持续解释来自C&C服务器的解密JSON负载。
命令执行分发器
按顺序系统执行四类操作：
- 文件下载
- 文件写入操作
- 注册表操作
- 进程执行
文件下载机制
低级HTTPS助手：
- 处理单个网络操作
- 创建HTTPS GET请求
- 使用fs.createWriteStream将响应数据直接流式传输到文件
- 验证HTTP状态码(确保200 OK)
高级命令处理器：
- 管理来自C&C服务器的多个下载命令
- 验证每个命令的Path和Data字段
- 扩展Windows环境变量
注册表操作
注册表操作分发器：
- 处理来自C&C服务器的命令数组
- 解析注册表路径提取根键和子键组件
- 基于Action字段路由命令(3为添加，4为删除)
进程执行
使用Node.js child_process.exec以分离模式生成进程，通过unref()防止阻塞。
文件写入操作
处理来自C&C服务器的文件写入命令，扩展Windows环境变量，将十六进制编码数据解码为二进制内容。
防御策略
- 仅从可信来源下载软件：坚持使用官方网站和信誉良好的应用商店
- 利用高级安全解决方案：部署使用行为分析和AI驱动检测的解决方案
- 保持系统和应用程序更新：定期修补操作系统和关键应用程序
- 教育用户：培训组织成员了解社会工程学危险
- 监控可疑行为：注意意外进程启动、新计划任务等迹象
- 采用分层安全方法：结合多种防御措施
- 更新凭证：如果检测到信息窃取程序，立即更新所有可能泄露的凭证
结论
EvilAI主要用作stager，其作用是获得初始访问权限、建立持久性并为感染系统准备额外负载。基于行为模式，研究人员怀疑在后续阶段部署了次要的信息窃取组件，但其确切性质和能力仍未被发现。
AI驱动的恶意软件如EvilAI的兴起突显了威胁格局的更广泛转变。AI不再只是防御者的工具，现在正被威胁行为者武器化，以生产比以往更智能、更隐蔽和可扩展的恶意软件。