Grandoreiro 木马重浮水面，全球 1500 多家组织遭殃
内容提要
研究人员发现基于Windows的Grandoreiro特洛伊银行木马再次出现，通过网络钓鱼攻击活动，针对全球范围内的1500多家银行。该木马利用微软Outlook客户端传播钓鱼邮件，执行文件操作、收集Outlook数据并滥用受害者的电子邮件账户发送垃圾邮件。
延伸解读
从区域威胁到全球扩张的转变
Grandoreiro木马自出现以来主要活跃在拉丁美洲、西班牙和葡萄牙，但巴西当局试图关闭其基础设施后，该组织开始战略转变，谋求大规模自主扩张。此次攻击覆盖中美洲、南美洲、非洲、欧洲和印太地区的60多个国家，表明其目标已从区域转向全球。这种扩张可能增加更多地区金融机构的风险，尤其是此前未受该木马影响的区域。
技术升级与规避检测的新手段
Grandoreiro进行了重大改进，包括更新字符串解密和域生成算法（DGA），并利用微软Outlook客户端传播钓鱼邮件。自定义加载程序被膨胀到100MB以上以绕过反恶意软件扫描，同时检查受感染主机是否在沙盒环境中。这些技术升级提高了木马的隐蔽性和持久性，使传统安全检测更难发现其活动。
攻击链与目标筛选的细节
钓鱼邮件诱导收件人点击链接查看发票或付款，重定向到PDF图标图像后下载包含Grandoreiro载入器的ZIP压缩包。载入器会收集基本受害者数据发送至C2服务器，并下载执行主要银行木马。值得注意的是，验证步骤会跳过位于俄罗斯、捷克、波兰和荷兰的系统，以及未安装杀毒软件的美国Windows 7机器，这反映了攻击者有意规避特定地区以降低被追踪风险。
滥用Outlook带来的扩散风险
Grandoreiro通过Outlook安全管理器工具与本地Outlook客户端交互，能够收集Outlook数据并滥用受害者电子邮件账户向其他目标发送垃圾邮件。这种利用受感染收件箱传播的方式，很可能导致大量垃圾邮件从Grandoreiro活动中发出。对于企业而言，这意味着一旦内部邮箱被控，可能成为攻击者进一步扩散钓鱼邮件的跳板，增加内部横向传播的风险。
Q&A
Grandoreiro木马的主要攻击目标是什么？
Grandoreiro木马主要针对全球1500多家银行，尤其集中在中美洲、南美洲、非洲、欧洲和印太地区的60多个国家。
Grandoreiro木马是如何传播的？
Grandoreiro木马通过微软Outlook客户端发送钓鱼邮件，诱导用户下载恶意文件，从而进行传播。
Grandoreiro木马有哪些技术改进？
Grandoreiro木马进行了字符串解密和域生成算法（DGA）的重大更新，并且加载程序被膨胀到100MB以上以绕过反恶意软件扫描。
Grandoreiro木马的攻击方式是什么？
Grandoreiro木马通过网络钓鱼攻击，诱导用户点击链接并下载恶意文件，进而收集受害者数据并发送垃圾邮件。
Grandoreiro木马的运营商有什么战略变化？
在巴西当局试图关闭其基础设施后，Grandoreiro的运营商开始了战略转变，谋求大规模自主扩张。
Grandoreiro木马如何与命令和控制服务器连接？
Grandoreiro木马通过重新设计的DGA与命令和控制（C2）服务器建立连接，以接收进一步的指令。
