Plattformübergreifende SysJoker-Backdoor-Angriffe auf Windows, macOS und Linux
Intezer-Experten entdeckt haben eine neue plattformübergreifende SysJoker-Hintertür, die gegen Geräte unter Windows verwendet wird, Linux und macOS im Rahmen einer Cyberspy-Kampagne.
Laut Forschern, Die Malware ist seit mindestens der zweiten Hälfte von aktiv 2021. Die Malware wurde erstmals im Dezember entdeckt 2021 während eines Angriffs auf einen Linux-basierten Webserver, der einer ungenannten Bildungseinrichtung gehört.
Die Malware ist in C++ geschrieben und jede Variante ist für ein bestimmtes Betriebssystem angepasst. jedoch, alle Varianten werden von den auf vorgestellten Sicherheitslösungen nicht erkannt VirusTotal.
Unter Windows, SysJoker verwendet einen Dropper der ersten Ebene im DLL-Format, die dann PowerShell-Befehle ausführt und Folgendes tut: Ruft die SysJoker-ZIP-Datei aus der GitHub Repository, extrahiert es nach C:\ProgramDataRecoverySystem, und führt die Nutzlast aus. Die Malware ist etwa zwei Minuten im Leerlauf, bevor sie ein neues Verzeichnis erstellt und sich selbst als kopiert Intel Graphics Common User Interface Service (igfxCUIService.exe).
Nach dem Sammeln der Daten, Die Malware kann im System Fuß fassen, indem sie einen neuen Registrierungsschlüssel hinzufügt (HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun). Der nächste Schritt ist der bereits erwähnte Aufruf des Management Servers, die einen fest codierten Link zu Google Drive verwendet.
Wenn die während der ersten Infektionsstadien gesammelten Informationen an die C&C-Server, es antwortet mit einem eindeutigen Token, die später als Kennung des infizierten Rechners dient. Ebenfalls, Der Kontrollserver kann der Hintertür befehlen, zusätzliche Malware zu installieren, Ausführen bestimmter Befehle auf dem infizierten Gerät, oder selbst löschen. Es wird darauf hingewiesen, dass die letzten beiden Funktionen noch nicht vollständig implementiert wurden.
Die Forscher schreiben, dass die Linux- und macOS-Versionen keinen DLL-Dropper haben, führen aber im Allgemeinen die gleichen böswilligen Operationen auf dem infizierten Gerät aus.
Vielleicht interessiert es Sie zu wissen, was Das Capoae Malware installiert ein Backdoor-Plugin auf WordPress-Seiten, und das Neu XLoader Malware stiehlt Anmeldeinformationen von macOS und Windows.
