归档文件取代 Office 格式成为传播恶意软件的首要文件类型

HP Wolf Security 周四在其第三季度报告中称，归档文件已成为传播恶意软件的最流行文件类型，与第二季度相比，隔离样本数量增长了 11%，首次超过 Office 格式。

惠普报告发现，攻击者正在通过加密存档和 HTML 文件中的恶意负载来绕过外围网络安全控制，例如电子邮件扫描仪。然后，他们依靠社会工程技术——主要是通过电子邮件——来引诱毫无戒心的受害者。

Vade 的首席技术和产品官 Adrien Gendre 表示，这份惠普报告中真正值得注意的是，Office 格式现已被存档文件取代，成为最流行的恶意软件传播文件类型。Gendre 表示，这一变化很可能是由于整个行业的威胁研究团队在QakBot 恶意软件的下载和执行中看到的急剧上升造成的。

“这项新技术还加强了我们在 2022 年从威胁行为者团体中看到的日益复杂，”Gendre 说。“他们在绕过病毒扫描程序和沙盒等防御措施方面变得更具创新性，并做好功课以创建极具说服力的复杂社会工程技术，使其进入用户的收件箱。”

Intel 471 的恶意软件分析师 James Quinn 解释说，在 HTML 中“隐藏”恶意文件的技术并不新鲜。例如，Quinn 表示，Hancitor背后的威胁参与者在 2021 年使用这种技术“隐藏”恶意 Word 文档。这只是另一种破坏自动分析管道和绕过安全工具的技术。

“我们相信惠普描述的 HTML 文件是使用工具包生成的，”奎因说。“我们观察到的一些活动使用了几个随机生成的密码（保护 zip 档案）。在单个活动中使用多个不同的密码表明这些有效载荷的构建过程是自动化的，即构建器工具或脚本创建最终的 HTML 以及可能的中间有效载荷。”

Quinn 补充说，另一个线索是他们观察到几个不同的威胁行为者使用相同的技术，这表明一个威胁行为者一直在向在其传播活动中使用该工具的其他威胁行为者提供服务或工具。除了Qbo t 和 IcedID（又名 Bokbot）活动外，Quinn 表示他们还看到了用于传播 Bumblebee 的相同 HTML 走私技术。

“尽管在绕过安全控制方面取得了明显的成功，但这种技术也有缺点，”奎因说。“最终用户必须跳过几个环节才能使这种攻击发挥作用。他们必须使用提供的密码解压缩有效载荷，找到提取的恶意 ISO 文件，安装 ISO 映像，最后浏览到脚本/文档以将其打开。这个新工具背后的威胁参与者继续改进技术并添加新功能。最新的迭代在 HTML 有效负载中使用 Javascript，仅在检测到鼠标移动时才进入下一阶段。”

Vulcan Cyber 的高级技术工程师 Mike Parkin 表示，这里有一些有趣的趋势，威胁参与者正在寻找绕过电子邮件网关保护和垃圾邮件过滤器的新技术，但要注意的是，他们仍在大量利用社会工程来对付用户。他们的攻击。

Parkin 表示，这份报告中近 70% 的攻击都是通过电子邮件进行的，这确实意味着电子邮件防御方面仍有改进的空间，需要识别和阻止最新的绕过技术。

“虽然最终这些攻击需要用户交互才能成功，但用户意识和教育仍然至关重要，”Parkin 说。“该报告不够具体，我无法真正深入了解这项技术，而不是已有的技术。与使用勒索软件加密目标文件不同，加密有效载荷背后的总体思路是，传统工具无法检查存档中是否存在恶意软件。它必须让它通过或专门阻止它，因为它无法检查。”