伪装成华硕游戏辅助软件的ArmouryLoader：突破系统安全防护的恶意代码注入器
💡
原文中文，约2200字，阅读约需6分钟。
📝
内容提要
恶意软件ArmouryLoader伪装成华硕工具，通过劫持Armoury Crate隐蔽加载多种恶意软件，且其持久化策略使管理员难以删除。该软件利用GPU加密和混淆技术，成为针对企业和个人的金融威胁工具。
🎯
关键要点
- 恶意软件ArmouryLoader伪装成华硕工具，通过劫持Armoury Crate加载多种恶意软件。
- 该加载器利用GPU加密和混淆技术，成为针对企业和个人的金融威胁工具。
- 攻击者通过鱼叉式网络钓鱼或被入侵的软件分发篡改的ArmouryA.dll文件。
- ArmouryLoader的持久化策略使得管理员难以删除，创建定时任务以确保长期访问。
- 恶意DLL中嵌入的合法数字签名帮助进行社会工程攻击。
- 加载器的影响范围广泛，导致安全运营中心难以处理不透明的调用痕迹。
- ArmouryLoader通过强制执行文件权限，确保即使是本地管理员也无法删除其文件。
❓
延伸问答
ArmouryLoader是如何伪装成华硕工具的？
ArmouryLoader伪装成华硕的Armoury Crate工具，通过劫持其导出表来加载恶意软件。
ArmouryLoader的持久化策略是什么？
ArmouryLoader创建定时任务以确保长期访问，并通过修改文件权限使管理员无法删除其文件。
攻击者是如何分发ArmouryLoader的？
攻击者通过鱼叉式网络钓鱼或被入侵的软件分发篡改的ArmouryA.dll文件来分发ArmouryLoader。
ArmouryLoader对企业和个人的威胁是什么？
ArmouryLoader成为针对企业和个人的金融威胁工具，能够悄无声息地加载多种恶意软件。
ArmouryLoader是如何绕过安全监控的？
ArmouryLoader利用GPU内存解密有效载荷，避免在磁盘上留下痕迹，从而绕过安全监控。
ArmouryLoader的攻击流程是怎样的？
ArmouryLoader的攻击流程包括多个阶段，从旁加载恶意DLL到在GPU上执行解密操作，确保隐蔽性。
➡️
