新的 HTML 走私活动向讲俄语的用户提供 DCRat 恶意软件

讲俄语的用户已成为一项新活动的一部分，该活动通过一种称为 HTML 走私的技术分发名为 DCRat（又名 DarkCrystal RAT）的商品木马。

这一发展标志着恶意软件首次使用这种方法进行部署，与以前观察到的传递媒介不同，例如受感染或虚假网站，或带有 PDF 附件或带有宏的 Microsoft Excel 文档的网络钓鱼电子邮件。

“HTML 走私主要是一种有效载荷传递机制，”Netskope 研究员 Nikhil Hegde 在周四发表的分析中说。“有效负载可以嵌入到 HTML 本身中，也可以从远程资源中检索。”

反过来，HTML 文件可以通过虚假网站或恶意垃圾邮件活动传播。一旦通过受害者的 Web 浏览器启动文件，隐藏的有效载荷就会被解码并下载到机器上。

该攻击随后依靠某种程度的社会工程来说服受害者打开恶意负载。

Netskope 表示，它发现在俄语中模仿 TrueConf 和 VK 的 HTML 页面，当在 Web 浏览器中打开时，它们会自动将受密码保护的 ZIP 存档下载到磁盘，以试图逃避检测。ZIP 有效负载包含一个嵌套的 RarSFX 存档，最终导致 DCRat 恶意软件的部署。

DCRat 于 2018 年首次发布，能够作为一个成熟的后门运行，可以与其他插件配对以扩展其功能。它可以执行 shell 命令、记录击键以及泄露文件和凭据等。

建议组织检查 HTTP 和 HTTPS 流量，以确保系统不会与恶意域通信。

这一发展是在俄罗斯公司成为一个名为 Stone Wolf 的威胁集群的目标之际，通过发送伪装成合法工业自动化解决方案提供商的网络钓鱼电子邮件，用 Meduza Stealer 感染它们。

“攻击者继续使用包含恶意文件和合法附件的档案，以分散受害者的注意力，”BI 说。ZONE 说。通过使用真实组织的名称和数据，攻击者有更大的机会诱骗受害者下载和打开恶意附件。

它还遵循恶意活动的出现，这些活动可能利用生成式人工智能 （GenAI） 来编写 VBScript 和 JavaScript 代码，负责通过 HTML 走私传播 AsyncRAT。

“脚本的结构、注释以及函数名称和变量的选择是威胁行为者使用 GenAI 创建恶意软件的有力线索，”HP Wolf Security 表示。“该活动展示了 GenAI 如何加速攻击并降低网络犯罪分子感染端点的门槛。”