Bandook RAT新变种向Windows发起网络钓鱼攻击
内容提要
Fortinet研究人员发现了Bandook远程访问木马（RAT）的新变种，该木马最近被用于针对Windows用户的网络钓鱼攻击。该RAT最早于2007年被发现，通过包含缩短URL的电子邮件附件传播，以下载一个受密码保护的.7z文件。一旦恶意软件从PDF文件中提取出来，负载将被注入到msinfo32.exe中。该负载支持139种操作，包括文件操作、注册表操作、下载、信息窃取等。Fortinet将继续监控并提供对此恶意软件的保护。
延伸解读
老木马的新变种：持续演进的风险
Bandook木马自2007年出现以来不断演变，不同威胁行为者多次利用其发起攻击。新变种增加了用于C2通信的附加命令，表明该恶意软件仍在持续改进。这种长期存在的木马通过不断更新功能，对Windows用户构成持续威胁，安全防护需关注其变种动态。
传播链条：从PDF附件到进程注入
攻击通过包含缩短URL的PDF附件传播，下载受密码保护的.7z文件。恶意软件从PDF提取后，注入器在资源表中解密载荷，并将其注入msinfo32.exe进程。载荷行为由注入前创建的注册表键值决定，这种多阶段手法增加了检测难度，提醒用户对可疑PDF附件保持警惕。
功能广泛但执行任务有限
Bandook载荷支持139种操作，涵盖文件操作、注册表操作、下载、信息窃取、文件执行、控制受害者计算机、终止进程和卸载恶意软件等。然而，其有效载荷执行的任务数量少于C2命令数量，因为多个命令可能用于单一动作，或仅用于响应服务器。这反映了恶意软件设计的复杂性。
Q&A
Bandook RAT新变种最近针对什么系统发起了攻击？
Bandook RAT新变种最近针对Windows用户发起了网络钓鱼攻击。
Bandook木马最早是什么时候被发现的？
Bandook木马最早于2007年被发现。
Bandook新变种是如何传播的？
Bandook新变种通过包含缩短URL的PDF文件附件传播，该URL用于下载受密码保护的.7z文件。
Bandook的恶意载荷被注入到哪个进程中？
恶意载荷被注入到msinfo32.exe进程中。
Bandook的有效载荷支持多少种操作？
Bandook的有效载荷支持139种操作。
Bandook木马常见的恶意行为有哪些？
常见行为包括文件操作、注册表操作、下载、信息窃取、文件执行、从C2调用dll中的函数、控制受害者的计算机、终止进程以及卸载恶意软件等。
