黑客利用谷歌云运行服务传播三大银行木马
内容提要
黑客滥用谷歌云运行服务传播银行木马，包括Astaroth、Mekotio和Ousaban。这些木马能窃取敏感金融数据和个人信息，进行欺诈性交易和网络钓鱼。威胁行为者可能是同一人。
延伸解读
谷歌云运行服务为何被滥用
文章指出，谷歌云运行服务因成本效益高且能绕过标准安全拦截和过滤器，对网络犯罪分子具有吸引力。攻击者利用该服务托管恶意网络服务，并通过钓鱼邮件中的链接将受害者重定向至恶意负载。这种滥用合法云服务的方式增加了检测难度，因为流量看似来自可信的谷歌云基础设施。
攻击链与持久化机制
攻击始于一封伪装成发票、财务报表或政府税务机构信息的钓鱼邮件，邮件语言以西班牙语为主，也有意大利语。邮件中的链接重定向到谷歌云运行服务托管的恶意服务，进而通过MSI文件或ZIP压缩包传播恶意软件。执行后，恶意软件滥用BITSAdmin等合法Windows工具下载后续载荷，并通过在启动文件夹添加LNK文件执行PowerShell命令来运行AutoIT脚本，从而在系统重启后仍能保持持久性。
三大银行木马的分工与关联
Astaroth、Mekotio和Ousaban均能隐蔽渗透、建立持久性并外泄金融数据。Astaroth最初针对巴西，现已瞄准拉丁美洲15个国家的300多家金融机构，并具备键盘记录、屏幕捕获和剪贴板监控能力。Mekotio以窃取银行凭证和个人信息闻名，可操纵浏览器重定向至钓鱼网站。Ousaban能进行键盘记录、截图和克隆银行门户钓鱼。思科Talos指出，Ousaban在Astaroth感染链后期发布，暗示两者操作者可能存在合作或由同一威胁行为者管理。
Q&A
黑客如何利用谷歌云运行服务传播银行木马？
黑客滥用谷歌云运行服务托管恶意网络服务，通过钓鱼电子邮件发送链接，重定向到谷歌云运行服务，然后通过MSI文件或ZIP压缩包传播银行木马。
谷歌云运行服务为什么被网络犯罪分子青睐？
因为它成本效益高，并且能够绕过标准的安全拦截和过滤器。
这次攻击主要针对哪些地区？
主要针对拉丁美洲国家，钓鱼电子邮件大多使用西班牙语，也有使用意大利语的情况。
Astaroth银行木马有什么特点？
Astaroth具有先进的规避技术，最初主要针对巴西，现在目标扩展到拉丁美洲15个国家的300多家金融机构。它利用键盘记录、屏幕捕获和剪贴板监控，不仅能窃取敏感数据，还能拦截和操纵互联网流量以获取银行凭证。
Mekotio和Ousaban银行木马分别有什么功能？
Mekotio以窃取银行凭证、个人信息和进行欺诈性交易而闻名，还可以操纵网络浏览器将用户重定向到钓鱼网站。Ousaban能够进行键盘记录、截图，并利用伪造的银行门户网站对银行凭证进行网络钓鱼。
这些银行木马之间可能存在什么关系？
Cisco Talos指出，Ousaban是在Astaroth感染链的后期阶段发布的，这表明这两个恶意软件家族的操作者之间可能存在合作，或者可能是由同一个威胁行为者同时管理的。
