恶意软件正劫持安全软件更新进行分发
内容提要
GuptiMiner是一种复杂的恶意软件，首次出现于2018年，主要通过中间人攻击eScan的更新机制传播。它具备多种后门功能，能够扫描本地网络并窃取私钥和加密钱包。研究人员认为GuptiMiner与朝鲜黑客组织Kimsuky有关，并且该恶意软件不断优化攻击链，利用混淆技术和自签名证书隐藏其活动。
延伸解读
供应链攻击的典型手法
GuptiMiner 通过中间人攻击劫持 eScan 安全软件的更新机制，将恶意包替换官方更新包，进而侧加载恶意 DLL。这种攻击方式利用了软件更新环节的信任关系，使得恶意代码能够绕过常规安全检测，直接进入企业内网。对于依赖第三方安全软件的企业，需警惕更新通道的安全性，并确保更新过程加密和完整性校验。
攻击者的多重目标与长期潜伏
除了部署后门进行横向移动和窃取私钥、加密钱包外，GuptiMiner 还会分发门罗币挖矿程序。这种混合攻击模式表明攻击者不仅追求经济利益，还注重长期情报收集。恶意软件通过计划任务、WMI 事件和特定时间触发（如仅在工作日、特定月份）来增强隐蔽性，显示出高度的对抗意识。
与 Kimsuky 的关联及归因线索
研究人员发现 GuptiMiner 与朝鲜 APT 组织 Kimsuky 的 Keylogger 存在相似性，包括 PDB 路径、互斥量命名和代码虚拟化段名 .vlizer。尽管感染链不同，但这些重叠特征暗示两者可能共享工具或代码。归因需谨慎，但此类线索有助于安全团队关联不同攻击活动，提升威胁情报的上下文。
防御建议与检测要点
针对 GuptiMiner，企业应监控异常 DNS 请求（尤其是 TXT 记录）、检查系统证书存储中是否被添加了可疑根证书，并留意注册表中异常 Payload 存储位置。同时，限制不必要的 SMB 横向移动，及时更新安全软件。由于攻击者使用自签名证书和混淆技术，传统签名检测可能失效，需结合行为分析。
Q&A
GuptiMiner 是什么类型的恶意软件？
GuptiMiner 是一种复杂的恶意软件，主要通过中间人攻击传播，具备多种后门功能。
GuptiMiner 如何进行传播？
GuptiMiner 主要通过中间人攻击 eScan 的更新机制进行传播，替换官方更新包为恶意软件。
GuptiMiner 与 Kimsuky 有什么关系？
研究人员认为 GuptiMiner 与朝鲜黑客组织 Kimsuky 可能存在关联，二者之间有许多相似之处。
GuptiMiner 的攻击链是怎样的？
GuptiMiner 的攻击链包括多个阶段，从安装到挖矿程序的部署，显示出其复杂性和隐蔽性。
GuptiMiner 如何隐藏其活动？
GuptiMiner 利用混淆技术和自签名证书来隐藏其活动，确保恶意行为不易被检测。
GuptiMiner 具备哪些后门功能？
GuptiMiner 具备多种后门功能，包括扫描本地网络、窃取私钥和加密钱包等。
