Sophos 研究發現 Qakbot 殭屍網路變得更先進且更危險

Sophos 是新一代網路安全的全球領導者，今天發布一篇對 Qakbot 殭屍網路的深入研究，解釋為什麼它對企業來說變得更先進和更危險。在這篇《Qakbot 將自己插入電子郵件對話中》文章，Sophos 研究人員詳細介紹最近的 Qakbot 殭屍網路如何透過劫持電子郵件對話來進行傳播，並會從遭感染的電腦收集各種設定資訊，包括使用者帳戶和權限、已安裝軟體、正在運作的服務等。Sophos 指出，殭屍網路隨後會下載一系列額外的惡意模組，以增強核心殭屍網路的功能。

Qakbot 的惡意軟體程式碼具有非常規的加密功能，還會用於隱藏通訊內容。Sophos 對其惡意模組進行解密，並對殭屍網路的命令和控制系統進行解碼，以解讀 Qakbot 如何接收指令。

Sophos 首席威脅研究員 Andrew Brandt 表示：「Qakbot 是一種模組化且多用途的殭屍網路，它透過電子郵件傳播，可扮演成惡意軟體的傳遞網路，所以越來越受到攻擊者歡迎，例如 Trickbot 和 Emotet。「Sophos 對 Qakbot 的深入分析揭露了擷取受害電腦設定資料的細節、殭屍網路處理複雜命令序列的能力，以及一系列能擴展殭屍網路核心引擎功能的裝載。以為『商品型』殭屍網路只是煩人的日子早已遠去。

 「安全部門需要認真處理網路上存在的 Qakbot，並且調查和刪除每一個痕跡。殭屍網路感染是勒索軟體攻擊的已知前兆。不僅是因為殭屍網路可以傳播勒索軟體，更因殭屍網路開發者會出售或出租這些遭破壞網路的存取權限。例如，Sophos 就遇到過將 Cobalt Strike 信標直接傳送到遭感染主機的 Qakbot 樣本。一旦 Qakbot 操作者想要利用這些遭感染的電腦，他們就可以將這些信標的存取權限轉讓、出租或出售給付費的客戶。」

Qakbot 感染鏈和裝載

在 Sophos 分析的活動中，Qakbot 殭屍網路將惡意郵件插入到現有的電子郵件討論串中。插入的電子郵件包括一句簡短的句子和一個下載包含惡意 Excel 試算表的 zip 檔案連結。使用者會被要求「打開內容」以觸發感染鏈。一旦殭屍網路感染了新目標，它會進行詳細的設定掃描，將資料分享到命令和控制伺服器，然後下載其他惡意模組。

Qakbot 殭屍網路會以動態連結程式庫 (DLL) 的形式下載至少三種不同的惡意裝載。據 Sophos 稱，這些 DLL 裝載將為殭屍網路提供更多種功能。

這些裝載會被插入瀏覽器並置入以下內容：

• 一個將密碼竊取程式碼插入網頁的模組

• 一個執行網路掃描的模組，收集遭感染電腦鄰近其他電腦的資料

• 一個會識別十幾個 SMTP 電子郵件伺服器地址，然後嘗試連線到每個伺服器並發送垃圾郵件的模組

Sophos 安全建議

Sophos 建議使用者謹慎處理不尋常或預期之外的電子郵件，即使這些郵件看似是對現有電子郵件討論的回覆。在 Sophos 調查的 Qakbot 活動中，一個收件者可視為潛在危險的信號是在 URL 中使用了拉丁片語。

安全部門應檢查現有安全技術提供的行為保護是否可以防止 Qakbot 感染。如果遭感染的使用者嘗試連線到已知的命令和控制地址或網域，網路設備也會通報系統管理員。

Sophos 端點產品如 Intercept X，可透過偵測攻擊者的動作和行為來保護使用者。

如需更多資訊，請閱讀《Qakbot 將自己插入到電子郵件對話中》，請由 SophosLabs Uncut 下載。

其他資源

• 如需不斷演變的網路威脅態勢的更多詳細資訊，請參見《Sophos 2022 年威脅報告》

• SophosLab Uncut 上取得針對不同類型威脅的策略、技術和程序 (TTP) 以及更多內容，可使用 Sophos 最新的威脅情報

• 在Sophos 新聞上找到攻擊者行為、事件報告和針對安全營運專業人員的建議

• 了解 Sophos Rapid Response 服務的更多資訊，該服務可全天候遏阻、消除和調查攻擊

• Sophos Rapid Response 和 Managed Threat Response 團隊對回應安全事件的四個重要提示

• 由我們獲獎的 Naked Security 取得最新的安全新聞和觀點，並由 Sophos News 觀看更多關於我們的介紹

關於 Sophos

Sophos 是新一代網路安全的全球領導者，保護 150 多個國家/地區的 50 萬家企業和數百萬消費者免受當今最先進的網路威脅的危害。透過來自 SophosLabs 和 SophosAI 的威脅情報、人工智慧和機器學習，Sophos 提供多種先進的產品和服務組合，保護使用者、網路和端點免於勒索軟體、惡意軟體、漏洞利用、網路釣魚和其他網路攻擊。Sophos 提供一個整合式的雲端管理主控台 Sophos Central，這是自適應網路安全生態系統的核心，使用一個提供一整組開放式 API 的資料湖，可供客戶、合作夥伴、開發人員和其他網路安全廠商使用。Sophos 透過經銷商合作夥伴和託管服務供應商 (MSP) 在全球銷售產品和服務。Sophos 總部位於英國牛津。如需詳細資訊請瀏覽 www.sophos.com。