建站
咨詢
售后
建站咨詢
新聞中心
最近，安全研究人員發(fā)現(xiàn)了一個新版本的Windows惡意軟件，該惡意軟件可打開Windows PC上的RDP端口，以便進行遠程訪問。
創(chuàng)新互聯(lián)公司作為成都網(wǎng)站建設(shè)公司，專注成都網(wǎng)站建設(shè)、網(wǎng)站設(shè)計，有關(guān)企業(yè)網(wǎng)站設(shè)計方案、改版、費用等問題，行業(yè)涉及成都鑿毛機等多個領(lǐng)域，已為上千家企業(yè)服務(wù)，得到了客戶的尊重與認可。
SentinelOne的安全研究員Jason Reaves透露，這種新版本的惡意軟件被稱為``Sarwent''，自2018年以來一直在使用。
目前，這種新版本的Sarwent惡意軟件已經(jīng)引起了眾多安全專家的關(guān)注。
安全研究員Vitali Kremez在今年(2020年)年初發(fā)送了一條twitter，他在推文中提到了有關(guān)這個Sarwent惡意軟件的一些信息。
安全專家說，到目前為止還不能確定Sarwent是如何分發(fā)的，可能是通過其他惡意軟件傳播的。此外，Sarwent的早期版本是為了在受損的PC上安裝額外的惡意軟件而開發(fā)的。
Sarwent惡意軟件的運營商很有可能在黑客的網(wǎng)站和論壇上出售“對這些受損系統(tǒng)的訪問權(quán)”，因為這是最常見的將具有RDP功能的主機盈利化的方法之一。
Sarwent功能
黑客仍在不斷的開發(fā)和使用Sarwent惡意軟件，它具有新的命令，并且側(cè)重于遠程桌面協(xié)議(RDP)。Sarwent的新版本以其通過Windows命令提示符和PowerShell實用程序執(zhí)行自定義CLI命令的能力而著稱。
安全專家稱，這項新功能本身具有很強的入侵性，但除了此功能外，Sarwent還通過該更新獲得了另一個新功能，即具有在每個受感染主機上注冊新Windows用戶帳戶的功能。
一旦Sarwent成功入侵系統(tǒng)，惡意軟件就會創(chuàng)建一個新的Windows用戶帳戶，修改防火墻，然后打開RDP端口。
簡而言之，攻擊者將能夠使用他們在受感染系統(tǒng)上創(chuàng)建的新Windows用戶訪問主機，而不會被Windows防火墻阻止。
SentinelOne的安全研究員Jason Reaves表示，攻擊者這樣做是為了將來在受感染的系統(tǒng)上獲得遠程訪問權(quán)，但這要看攻擊者本身，不排除攻擊者將RDP訪問權(quán)轉(zhuǎn)售給其他不法分子的可能性。
在有限的原始命令中可發(fā)現(xiàn)，這個惡意軟件的功能在歷史上是作為一個加載程序循環(huán)的，這里是部分的原始命令：
- |download|
- |update|
- |vnc|
但是，最近，攻擊者修改了Sarwent惡意軟件，添加了一些命令，這些命令主要集中在后門或RAT之類的功能上，以下是新添加的命令：
- |cmd|
- |powershell|
- |rdp|
Sarwent惡意軟件背后的攻擊發(fā)起者可能僅為自己使用RDP訪問權(quán)限，以竊取專有數(shù)據(jù)或安裝勒索軟件。但就如之前所講，不排除將RDP訪問權(quán)限租借給其他黑客的可能性。
IOC
除了對惡意軟件的描述外，SentinelOne的安全專家Jason Reaves還介紹了危害指標(IOCs)，更多詳情請參見原文。
新聞名稱：如果你是黑客，會利用Windows后門來做些什么？
瀏覽地址：http://m.5511xx.com/article/djpeoss.html
