新型ValleyRAT恶意软件通过伪造Chrome下载传播
内容提要
Morphisec发现了一种新型ValleyRAT恶意软件变种，采用多阶段感染和先进的规避策略，主要通过钓鱼邮件和伪造网站传播，目标是高价值个人，尤其是财务部门。该恶意软件通过伪装的Chrome下载进行初始感染，并利用DLL侧加载和内存执行来规避检测。
关键要点
-
Morphisec发现了一种新型ValleyRAT恶意软件变种，采用多阶段感染和先进的规避策略。
-
该恶意软件主要通过钓鱼邮件、即时通讯平台和伪造网站传播，目标是高价值个人，尤其是财务部门的员工。
-
新版本的ValleyRAT通过伪装成合法软件的下载进行初始感染，使用DLL侧加载和内存执行来规避检测。
-
攻击者使用虚假中国电信公司网站分发恶意软件，并下载包含DLL文件的.NET可执行文件。
-
恶意软件通过伪造的Chrome浏览器下载进行初始感染，利用合法进程进行代码注入。
-
ValleyRAT使用修改版的抖音可执行文件进行DLL侧加载，并通过合法的游戏文件执行恶意代码。
-
该恶意软件具有基本的远程访问木马功能，并包含反虚拟机检测机制，以规避安全检测。
延伸解读
恶意软件传播方式的演变
新型ValleyRAT恶意软件通过伪造Chrome下载进行初始感染，显示出攻击者在传播方式上的不断演变。与早期版本相比，当前版本利用虚假网站和合法软件的伪装，增加了感染的隐蔽性和成功率。这提醒用户在下载软件时需更加谨慎，确保来源的合法性。
高价值目标的风险
ValleyRAT主要针对财务、会计和销售部门的高价值个人，表明攻击者对敏感数据的高度关注。这一趋势提示企业应加强对关键岗位员工的安全培训，提高他们对钓鱼邮件和伪造网站的警惕性，以降低数据泄露的风险。
检测规避技术的复杂性
ValleyRAT采用DLL侧加载和内存执行等先进的规避技术，表明恶意软件的检测变得愈加复杂。企业在防护时需考虑到这些新兴技术，定期更新安全策略和工具，以应对不断变化的威胁环境。
延伸问答
ValleyRAT恶意软件是如何传播的？
ValleyRAT恶意软件主要通过钓鱼邮件、即时通讯平台和伪造网站传播，目标是高价值个人，尤其是财务部门的员工。
ValleyRAT恶意软件的初始感染途径是什么？
初始感染途径是通过伪造的Chrome浏览器下载，诱骗受害者下载并执行恶意软件。
ValleyRAT恶意软件使用了哪些规避检测的技术？
该恶意软件使用DLL侧加载和内存执行技术，绕过传统的基于磁盘的检测方法，并禁用AMSI和ETW等安全机制。
ValleyRAT恶意软件的目标用户是谁？
该恶意软件主要针对组织内的高价值个人，尤其是财务、会计和销售部门的员工。
ValleyRAT恶意软件的功能有哪些？
ValleyRAT是一种远程访问木马，具有屏幕监视、键盘和鼠标交互等基本功能。
攻击者是如何利用虚假网站分发ValleyRAT的？
攻击者使用名为“Karlos”的虚假中国电信公司网站分发恶意软件，下载包含DLL文件的.NET可执行文件。
