恶意软件活动试图滥用防御程序二进制文件
内容提要
Sophos研究人员发现了一种勒索软件攻击活动，该活动修改合法的Sophos可执行文件和DLL文件，以伪装成合法文件。攻击活动包括多种恶意载荷，包括Cobalt Strike和Brute Ratel。攻击者还滥用其他防御程序并使用过期的数字签名，目的是欺骗用户和避免被检测。受影响的文件是Sophos的Windows Endpoint产品版本2022.4.3。调查仍在进行中，已经确定了400多个IoC条目。
延伸解读
攻击手法：覆盖入口点与资源节隐藏载荷
攻击者通过覆盖合法文件的入口点代码，并将加密的有效载荷作为资源插入，从而伪装成合法文件。为了容纳额外的恶意资源，原始PE文件结构被修改，例如调整资源节大小以掩盖替换事实。这种手法使得恶意文件在粗略检查时难以被识别，尤其是当剩余代码仍包含合法字符串和源引用时。
受影响范围：特定版本文件被滥用
初步检查表明，所有受影响的Sophos文件均来自Windows Endpoint产品2022.4.3版本。攻击者还滥用了AVG、BitDefender、Emsisoft和微软等防御程序的文件，并使用已过期的数字签名。调查已发现超过400个IoC条目，涉及多个恶意载荷，如Cobalt Strike、Brute Ratel、Qakbot等。
行业协作与厂商回应
Palo Alto Networks也发现了同一活动并发布了相关信息。Sophos已联系受影响公司，Bitdefender承认其二进制文件被滥用，但表示其产品不易受此类攻击。这表明攻击主要针对特定版本的文件，而非产品漏洞，因此无法通过补丁完全阻止，但厂商和用户的警惕与协作仍至关重要。
Q&A
Sophos研究人员发现了什么类型的恶意软件活动？
Sophos研究人员发现了一种勒索软件活动，该活动通过修改合法的可执行文件和DLL文件来伪装成合法文件。
攻击者是如何伪装成合法文件的？
攻击者通过覆盖入口点代码和插入解密有效载荷，将恶意文件伪装成合法文件。
受影响的Sophos产品版本是什么？
受影响的文件是Sophos的Windows Endpoint产品版本2022.4.3。
攻击者使用了哪些恶意载荷？
攻击者使用了多种恶意载荷，包括Cobalt Strike和Brute Ratel。
调查中发现了多少个IoC条目？
调查发现超过400个IoC条目。
Palo Alto Networks对这一活动有什么发现？
Palo Alto Networks也发现了同样的活动，并发布了相关信息。
