在最近的一份报告中，赛博瑞安全服务团队公布了与臭名昭著的 “Andromeda”（又名 Gamarue）恶意软件家族相关联的一个新的命令与控制（C2）服务器集群。这种恶意软件至少从 2011 年开始活跃，以模块化设计和适应性强而著称，是网络犯罪分子的多面手。Cybereason 的最新发现显示，该恶意软件的目标活动集中在亚太地区，重点是制造业和物流业。
Andromeda病毒历来通过恶意电子邮件附件、受感染的 USB 驱动器和次级有效载荷传播，现在它仍在继续发展。Cybereason解释说：“后门具有下载和执行其他恶意软件、窃取密码等敏感信息和创建远程访问后门的能力。这种灵活性使其成为工业间谍活动的一致选择。”
报告揭示了威胁行为者采用的复杂方法。最初的感染载体主要包括 “USB Drop 攻击”，即被入侵的 USB 驱动器在连接后自动执行恶意文件。一旦被感染，rundll32.exe 就会被用来加载伪装的 DLL，通常以 ~$W*.USBDrv 或 ~$W*.FAT32 等模式命名。
一项重要发现强调了 “desktop.ini ”文件是如何作为有效载荷启动恶意软件活动的，这些文件通常伪装成无害的系统文件。这些文件经常通过 WebDAV 下载，网络活动表明，它们连接到了用*.malware.com 等常见名称下的证书注册的恶意域。
新的 C2 服务器集群展示了复杂的基础设施。在赛博瑞调查期间，一个 C2 域名 suckmycocklameavindustry[.]in解析到了多个IP地址。这种适应性实现了动态命令传递，确保了恶意软件与其操作者之间的不间断通信。
Cybereason 的团队强调说：“我们已经确定了一组 IP 地址，它们与 Andromeda 后门一起被用作 C2。”
报告指出了与臭名昭著的 Turla 组织（又名 UNC4210）的潜在联系。“报告指出：“这一特殊活动似乎是对旧版 Andromeda 样本的重新利用，其 C2 被 UNC4210 劫持。”
该活动的重点是破坏亚太地区的制造和物流公司，其动机涉嫌工业间谍活动。攻击者利用 Andromeda 的模块化设计来渗透网络、渗出敏感数据并执行进一步的有效载荷。
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容