图片也带”毒“了？ 黑客使用新技术推送 Remcos RAT
内容提要
黑客组织利用隐写图像文件传播Remcos远程访问木马，受害者是芬兰境内运营的乌克兰实体组织。该组织已将目标扩展到乌克兰境外与其战略目标有关联的组织。利用图片加载恶意软件“隐写术”是一种有据可查但很少见的网络攻击策略。网络攻击链始于一封网络钓鱼电子邮件，受害者一旦打开附件，就会触发感染链。IDAT采用了复杂的技术来逃避安全检测，能够提供多种恶意软件。
延伸解读
隐写术攻击的隐蔽性与检测难点
隐写术将恶意代码编码到图像像素中，能躲避基于签名的检测。但在此案例中，图像出现明显失真，人工检查可发现，而自动安全产品难以察觉。这提醒防御方，仅依赖自动化工具可能漏报，需结合人工审查图像异常。
IDAT加载器的模块化与多恶意软件投递能力
IDAT是一个模块化恶意软件加载器，采用动态API解析、系统调用等技术逃避检测。它不仅能投递Remcos RAT，还可提供Danabot、SystemBC和RedLine Stealer等恶意软件。这种多用途设计增加了攻击的灵活性和危害范围，即使当前受害者仅感染Remcos，防御方也需警惕其他载荷。
攻击目标扩展与地缘政治关联
UAC-0184最初针对乌克兰武装部队，但2024年初攻击了芬兰境内运营的乌克兰实体，表明其目标已扩展到乌克兰境外与战略目标相关的组织。这显示该组织可能根据战略需求调整目标，相关实体需提高警惕。
Q&A
UAC-0184黑客组织最近使用了什么新技术来传播Remcos RAT？
UAC-0184黑客组织利用隐写图像文件（将恶意代码编码到图像像素中）来传播Remcos远程访问木马（RAT）。
UAC-0184的攻击目标有哪些？
最初针对乌克兰武装部队，2024年初扩展到芬兰境内运营的乌克兰实体组织，以及乌克兰境外与其战略目标有关联的组织。
隐写术攻击为什么难以被检测？
隐写术将恶意代码编码到图像像素数据中，不会明显改变图像外观，可以躲避基于签名规则的检测。在Morphisec观察的案例中，图像虽有失真但很难被直观察觉，只有人工仔细检查才能发现，否则可轻松躲避自动安全产品。
IDAT加载器如何逃避安全检测？
IDAT采用动态加载Windows API函数、HTTP连接测试、进程阻止列表和系统调用等技术，API调用不以明文写入代码，而是在运行时使用解密密钥解析，还采用代码注入和执行模块等独特技术。
IDAT加载器如何执行Remcos RAT？
IDAT提取嵌入恶意PNG图像文件中的编码有效载荷，然后在内存中解密并执行，最终解密和执行Remcos RAT。
IDAT加载器还能提供哪些其他恶意软件？
IDAT还能够提供Danabot、SystemBC和RedLine Stealer等恶意软件，但目前尚不清楚这些恶意软件是否出现在受害者系统中。
