Windows 在新的网络钓鱼攻击中感染了后门 Linux 虚拟机

主要观点总结

本文介绍了一种名为“CRON#TRAP”的新网络钓鱼活动，该活动通过Linux虚拟机感染Windows系统，并在企业网络中实施持久性攻击。该虚拟机包含内置后门，允许攻击者在后台操作。文章详细描述了该活动的执行过程，包括使用网络钓鱼电子邮件、QEMU虚拟机、Chisel工具等进行感染和实施攻击的过程。

关键观点总结

关键观点1: 新的网络钓鱼活动“CRON#TRAP”利用Linux虚拟机感染Windows系统。

该活动使用网络钓鱼电子邮件发送带有后门的Linux虚拟机，攻击者可以秘密访问公司网络并执行恶意活动。

关键观点2: Linux虚拟机包含内置后门。

后门允许攻击者在后台操作，包括在受感染主机上执行命令、监视网络活动、管理有效负载等。

关键观点3: 攻击者使用QEMU虚拟机来执行攻击。

QEMU是一个经过数字签名的合法工具，因此Windows不会对其发出警报，安全工具也无法检查虚拟机内运行的恶意程序。

关键观点4: 攻击者使用Chisel工具进行通信。

Chisel通过HTTP和SSH传输数据，允许攻击者与受感染主机上的后门进行通信，即使在网络防火墙的保护下也能实现通信。

关键观点5: 防御此类攻击的建议。

为了检测和阻止这些攻击，建议监视从用户可访问的文件夹执行的“qemu.exe”等进程，将QEMU和其他虚拟化套件放入阻止列表中，并从系统BIOS禁用或阻止关键设备上的虚拟化。