卡巴斯基发现有恶意软件针对钉钉和微信窃取信息 还被托管在米哈游服务器上
内容提要
卡巴斯基实验室发现名为HZ Rat的恶意软件，专门窃取钉钉和微信信息，存储在米哈游服务器上。该后门程序收集系统完整性、IP地址、蓝牙设备信息、WiFi网络信息、硬件规格、存储信息等，针对微信的信息包括用户ID、邮箱和电话号码，针对钉钉的信息包括用户所在企业/组织、部门名称、用户名、公司邮箱地址和电话号码。攻击者意图不明。
延伸解读
攻击者的潜在意图
卡巴斯基分析期间，HZ Rat 并未执行将文件写入磁盘或发送到服务器的命令，这表明攻击者当前可能仅处于信息收集阶段，为未来攻击做准备。因此，攻击者的具体意图尚不明确，但收集的数据类型暗示了后续可能针对企业或个人进行更深入的渗透。
针对钉钉与微信的差异
该后门对钉钉表现出更浓厚的兴趣，收集的信息包括用户所在企业/组织、部门名称、用户名、公司邮箱和电话号码，这些数据可用于绘制企业组织架构。而对微信，则主要收集用户ID、邮箱和电话号码，以纯文本形式存储，敏感度相对较低。
规避检测与信任滥用
HZ Rat 样本在 VirusTotal 上未被任何安全软件检测到，且伪装成 OpenVPN Connect 软件。攻击者将其托管在米哈游服务器上，利用知名公司域名获取用户信任或规避安全拦截。但黑客如何将文件放入该服务器仍是个谜，凸显了供应链安全风险。
跨平台威胁的演进
HZ Rat 最初仅针对 Windows 系统，此次发现的新版本是 Windows 版的移植，专门针对 macOS 系统。这表明攻击者正在扩大攻击范围，macOS 用户也需提高警惕，尤其是企业环境中使用钉钉和微信的用户。
Q&A
HZ Rat恶意软件的主要功能是什么？
HZ Rat恶意软件主要用于窃取钉钉和微信的信息，包括用户ID、邮箱、电话号码等。
HZ Rat恶意软件存储在哪里？
HZ Rat恶意软件被存储在米哈游的服务器上。
HZ Rat恶意软件对系统的影响有哪些？
HZ Rat收集系统完整性、IP地址、蓝牙设备信息、WiFi网络信息、硬件规格和存储信息，但未发现其他恶意行为。
HZ Rat恶意软件是否被安全软件检测到？
HZ Rat样本在VirusTotal上未被任何安全软件检测到，包括卡巴斯基。
HZ Rat恶意软件的攻击者意图是什么？
攻击者的具体意图尚不明确，可能是在为未来的攻击做准备。
HZ Rat恶意软件最初针对哪个操作系统？
HZ Rat恶意软件最初仅针对Windows系统，后来移植到macOS系统。
