人为操控攻击的 Maze 勒索软件
原文链接: https://labs.sentinelone.com/ 译者:知道创宇404实验室翻译组 摘要 Maze勒索软件是目前在野外使用最广泛的勒索软件之一,由具有能力的参与者进行分发。 我们发现了一个Maze分支机构,在交付勒索软件之前部署了量身定制的持久性方法。 行动者似乎使用了被盗的证书在其信标上签名。 与其他攻击一样,行动者使用HTA有效载荷作为交互式外壳,能够捕获到实时的和去模糊化的内容。 背景 Maze勒索软件在过去的大约一年时间里被广泛使用,成为全世界许多不同参与者的最终有效载荷。今年,臭名昭著的Maze运营商不仅开始通过加密文件勒索公司,而且威胁会在线 发布被窃取的文件, 从而勒索公司。最近,我们抓住了一个Maze会员,该会员尝试通过借由我们客户的网络进行传播。 在这篇文章中,我们分享有关该Maze会员使用方法的详细信息,以阐明他们的策略并帮助安全团队在其自己的网络中寻找类似的IOC。 攻击入口点 如先前在其他 Maze事件中 所报告的那样,攻击者可能通过强制使用管理员的密码,使用RDP来访问面向Internet的计算机。对美国公司的攻击之一始于7月4日(星期六),选择这个日期显然是猜测许多人(尤其是安全人员)那天可能不在工作。 攻击者使用RDP连接并上传了自己信标的有效载荷,并伪装成名为 netplwiz.exe 的已知Microsoft二进制文件