SocGholish恶意软件通过广告工具传播 为LockBit和Evil Corp等团伙提供初始访问权限
原文中文，约1900字，阅读约需5分钟。
📝
内容提要
恶意软件SocGholish通过伪装成软件更新传播，利用流量分发系统筛选用户并重定向至恶意内容。该组织将感染系统的访问权转售给其他网络犯罪团伙，并与Evil Corp等团伙协同攻击，使用动态C2框架监控受害者以确保有效载荷投递。
🔎
延伸解读
恶意软件即服务模式的影响
SocGholish恶意软件的传播利用了恶意软件即服务（MaaS）模式，这使得网络犯罪团伙能够轻松获取初始访问权限。此模式的普及意味着即使是技术水平较低的攻击者也能通过购买访问权限参与网络犯罪，增加了网络安全的复杂性和风险。
流量分发系统的滥用
攻击者利用Parrot TDS和Keitaro TDS等流量分发系统进行用户筛选和重定向，这种技术的滥用使得防御变得更加困难。企业在防范此类攻击时，需要关注流量来源的合法性，并考虑如何有效识别和阻止恶意流量。
动态C2框架的监控机制
SocGholish的动态C2框架能够实时监控受害者的设备，并根据判断结果决定是否继续投递有效载荷。这种灵活的监控机制使得攻击者能够更有效地规避检测，企业应加强对异常活动的监控，以提高防御能力。
❓
Q&A
SocGholish恶意软件是如何传播的？
SocGholish恶意软件通过伪装成软件更新，利用被入侵的网站进行传播。
SocGholish恶意软件的主要功能是什么？
SocGholish主要用于建立初始访问权限，并将感染系统的访问权转售给其他网络犯罪团伙。
哪些网络犯罪团伙与SocGholish有关联？
SocGholish与Evil Corp、LockBit、Dridex等多个网络犯罪团伙协同攻击。
流量分发系统在SocGholish攻击中扮演什么角色？
流量分发系统如Parrot TDS和Keitaro TDS被用来筛选用户并重定向至恶意内容。
SocGholish恶意软件的监控机制是怎样的？
SocGholish使用动态C2框架监控受害者，确保有效载荷的投递，并在判定受害者'不合法'时停止投递。
Raspberry Robin与SocGholish的关系是什么？
Raspberry Robin被用作SocGholish的分发载体，且其新变种增强了反检测能力。
🏷️
