CoralRaider 利用 CDN 缓存传播恶意软件
内容提要
研究人员发现黑客组织CoralRaider使用网络缓存传播恶意软件，窃取凭证、财务数据和社交媒体账户。攻击始于受害者打开恶意快捷方式文件，通过CDN缓存交付恶意软件，绕过网络防御系统。黑客组织使用新版本的LummaC2和Rhadamanthys，窃取RDP登录和谷歌账户cookie。他们还瞄准密码管理器和验证器应用程序的数据库，扩大攻击目标到多个国家。
延伸解读
CDN缓存滥用：攻击链中的隐蔽环节
CoralRaider利用Bynny CDN缓存分发恶意软件，这是一种绕过传统网络防御的策略。CDN通常被视为可信内容源，攻击者将恶意HTA文件托管在CDN子域上，使得安全设备难以区分合法与恶意流量。同时，CDN的缓存机制减少了请求延迟，提高了恶意软件交付的效率和隐蔽性。这种手法提醒防御者需加强对CDN流量的监控，尤其是对异常子域和文件类型的检测。
信息窃取程序升级：瞄准RDP与双因素验证
CoralRaider使用的LummaC2和Rhadamanthys新版本增加了捕获RDP登录和恢复过期谷歌账户cookie的功能，这扩大了攻击者的横向移动和持久化能力。此外，Cryptbot针对密码管理器数据库和验证器应用程序，旨在窃取受双因素验证保护的加密货币钱包。这些升级表明信息窃取程序正变得更加复杂，用户需警惕即使启用双因素验证也可能被绕过，建议定期更新安全软件并监控异常登录。
攻击目标全球化：从亚洲到多国
CoralRaider自2023年活跃以来，最初主要针对亚洲和东南亚国家，但最新攻击已扩展至美国、英国、德国、日本、尼日利亚、巴基斯坦、厄瓜多尔等多个国家。这种地理范围的扩大可能意味着该组织正在寻求更多高价值目标，或与其他威胁行为者合作。对于全球企业而言，无论位于何处，都应加强端点防护和员工安全意识培训，以应对日益复杂的攻击链。
Q&A
CoralRaider是如何传播恶意软件的？
CoralRaider通过网络缓存传播恶意软件，利用CDN缓存绕过网络防御系统。
CoralRaider的攻击目标有哪些国家？
CoralRaider的攻击目标包括美国、英国、德国、日本、尼日利亚、巴基斯坦和厄瓜多尔等多个国家。
CoralRaider使用了哪些恶意软件工具？
CoralRaider使用了LummaC2、Rhadamanthys和Cryptbot等信息窃取程序。
攻击是如何开始的？
攻击始于受害者打开包含恶意Windows快捷方式文件的压缩包。
CoralRaider的攻击手法有什么特点？
CoralRaider的攻击手法包括使用PowerShell脚本解密和传输有效载荷，以及绕过用户访问控制。
Cryptbot对用户的威胁是什么？
Cryptbot可以窃取密码管理器和验证器应用程序的数据，甚至受双因素验证保护的加密货币钱包。
