E周观察-安全威胁情报(2022.5.14~5.20)

Facestealer是于2021年7月披露的一款间谍软件，可以通过Google Play的欺诈性应用程序窃取用户的Facebook凭据。近日，研究人员发现了200多款与Facestealer间谍软件有关的应用程序，用户成功登录帐户后，应用程序会收集cookie，随后间谍软件会加密所有个人身份信息（PII）并将其发送到远程服务器。

5月17日，微软披露了一种针对联网加密货币钱包的新威胁“cryware”。cryware是直接从非托管加密货币钱包（也称为热钱包）收集和窃取数据的信息窃取程序。获得热钱包数据访问权限的攻击者可以借助cryware，快速将目标的加密货币转移到他们自己的钱包中。

近日，研究人员捕获到一个同时释放Jester Stealer窃密木马和Merlynn Cliper剪贴板劫持器的恶意样本。其中，Jester Stealer窃密木马能够窃取受害者系统凭据、Wi-Fi密码、屏幕截图、浏览器保存的密码、cookies、软件数据等重要数据，将其打包为zip格式压缩包后通过HTTP或Tor匿名网络回传，也支持上传到AnonFiles匿名网盘的备用回传方式；Merlynn Cliper剪贴板劫持器会将剪贴板中的数字钱包地址替换为攻击者预设的钱包地址，以此劫持受害者的挖矿地址配置和数字货币转账等操作，造成受害者虚拟财产的损失。对本次样本进行关联分析发现，该样本释放的窃密木马及剪贴板劫持器均由Jester Stealer黑客团伙开发售卖。

UpdateAgent是一种恶意软件释放器，可促进广告软件等第二阶段有效负载的分发。研究人员最近发现了UpdateAgent恶意软件释放器的更改，这些更改主要集中在用 Swift 编写的新可执行文件上，可执行文件与服务器联系以获取要执行的 bash 脚本。

近日，研究人员发现了攻击者利用恶意编译的HTML帮助文件交付Agent Tesla的恶意活动。Agent Tesla可以从受害者的计算机中窃取敏感信息，并通过 FTP、SMTP 或 HTTP 将窃取到的信息发送给攻击者。

2022 年 4 月，研究人员在 YouTube上发现了一个新的 RedLine Stealer 活动。恶意软件通过 YouTube 视频传播，诱使受害者下载虚假bot以自动购买Binance NFT Mystery Box。所有视频都指向同一个 GitHub URL，下载一个名为“ BinanceNFT.bot v.1.3.zip ”的文件，解压ZIP文件后可以得到打包的RedLine样本（“ BinanceNFT.bot v.1.3.exe ”）和一个 Microsoft Visual C++ Redistributable 安装程序（“ VC_redist.x86.exe ”）。

在过去的6个月中，Linux木马XorDdos的攻击活动激增了254%。XorDdos于2014年首次被发现，该恶意软件使用了多种绕过机制和保持持久性的策略，使其难以被清除。在近期的活动中，XorDdos还通过用空字节覆盖敏感文件来隐藏恶意活动以防止被分析。此外，除了发起DDoS攻击外，XorDdos还被用来安装其它恶意软件，如Tsunami后门。