AsyncRAT 攻击变化新动向
内容提要
研究人员发现了一种持续11个月的攻击行动，通过嵌入网络钓鱼页面的JavaScript脚本向受害者投递AsyncRAT木马。攻击者选择与美国关键基础设施相关的受害者。AsyncRAT是一种开源远控木马，具有按键记录和载荷投递等功能。攻击者使用混淆的代码和多个阶段的攻击链来逃避检测，并尝试为每个受害者生成全新的Loader。攻击基础设施具有共同特征，如域名结构和ASN。攻击者使用DGA算法生成新域名，并对样本进行混淆和修改。
延伸解读
开源木马的双刃剑：AsyncRAT为何被广泛滥用
AsyncRAT作为2019年发布的开源远控木马，其免费和开源的特性降低了攻击者的门槛。文章指出，许多攻击组织基于其源码进行定制化开发，甚至APT组织Earth Berberoka也使用AsyncRAT。这导致攻击样本多样且难以通过单一特征检测，防御方需关注行为而非仅依赖签名。
反沙盒与混淆：攻击者的规避策略解析
攻击链中，攻击者通过检查虚拟机概率值、显卡适配器类型和SMBIOS数据大小来识别沙盒环境，并利用高度混淆的JavaScript和PowerShell代码隐藏恶意行为。C&C服务器根据计算值决定是否投递真正的AsyncRAT，否则重定向至Google或返回诱饵脚本。这种动态规避增加了分析难度。
基础设施特征：域名与ASN的追踪线索
尽管样本高度混淆，但攻击基础设施存在共同特征：域名遵循8位随机字母数字加.top的结构，注册商为Nicenic.net，注册在南非；硬编码域名绑定在BitLaunch（ASN 399629），DGA域名绑定在DigitalOcean。攻击者使用加密货币支付以保持匿名，但ASN和域名模式仍为发现新基础设施提供了线索。
DGA算法：按日期生成域名的机制
攻击者使用DGA算法，以日期为种子，每七天生成一个新域名，生成日为周日。种子从a到n的15个字母中选取，并包含变量（如2023和6542）用于模式变更。文章举例展示了2023年12月后每周的域名。这种基于时间的自动化更换增加了检测和封锁的难度，但固定的域名特征仍可帮助预测未来基础设施。
Q&A
AsyncRAT 是什么？它有哪些主要功能？
AsyncRAT 是一款于 2019 年发布的开源远控木马，源码在 GitHub 上公开。由于其免费且开源，成为攻击者最常用的远控木马之一。典型功能包括按键记录、横向平移和载荷投递等。
攻击者如何通过钓鱼页面投递 AsyncRAT？
攻击者将高度混淆的 JavaScript 代码嵌入网络钓鱼页面，诱导受害者下载恶意脚本。该脚本会拉取后续的 PowerShell 脚本与 AsyncRAT 样本文件，并在多个阶段使用高强度混淆以逃避检测。
攻击者使用了哪些技术来逃避沙盒检测？
攻击者会执行多条命令检查环境：通过 Get-MpComputerStatus 获取 IsVirtualMachine 值、通过 Get-WmiObject Win32_VideoController 获取显卡适配器信息、通过查询 MSSmBios_RawSMBiosTables 获取 SMBIOS 数据大小。根据这些结果的组合计算出一个值，若该值表明是虚拟机则停止攻击，否则继续投递载荷。
攻击者如何利用 DGA 算法生成域名？
攻击者使用基于日期的 DGA 算法，每七天生成一个新域名（周日生成）。种子从 a 到 n 的 15 个字母中选取，并结合变量（如 2023 和 6542）改变域名模式。生成的域名均为 .top 后缀，由 8 个随机字母数字字符组成。
攻击基础设施有哪些共同特征？
已发现的域名（如 sduyvzep[.]top、orivzije[.]top、zpeifujz[.]top）具有共同特征：顶级域名为 .top，使用 8 个随机字母数字字符，注册商为 Nicenic.net, Inc，注册在南非，且在使用前几天创建。此外，样本中硬编码的域名绑定在 BitLaunch（ASN 399629），而 DGA 域名绑定在 DigitalOcean。
攻击者如何保持匿名性？
攻击者使用比特币、以太坊或莱特币等加密货币进行支付，利用加密货币的匿名性保持隐蔽。BitLaunch 允许使用加密货币付款，并可作为 DigitalOcean、Vultr 或 Linode 主机的桥梁，从而隐藏真实身份。
