黑客借虛假Microsoft Teams安裝程序植入Oyster后門入侵企業(yè)網(wǎng)絡(luò)

黑客被發(fā)現(xiàn)利用SEO搜索引擎廣告，推廣偽造的Microsoft Teams安裝程序，這些程序會向Windows設(shè)備植入Oyster后門，為攻擊者獲取企業(yè)網(wǎng)絡(luò)初始訪問權(quán)限鋪路。

Oyster惡意軟件又名Broomstick、CleanUpLoader，是一款2023年年中首次出現(xiàn)的后門程序，目前已與多起攻擊活動相關(guān)聯(lián)。該惡意軟件能為攻擊者提供受感染設(shè)備的遠程訪問權(quán)限，支持執(zhí)行命令、部署額外惡意載荷及傳輸文件等操作。

Oyster通常通過“仿冒熱門IT工具”的惡意廣告活動傳播，曾偽裝成Putty、WinSCP等工具；Rhysida等勒索軟件團伙也利用過這款惡意軟件入侵企業(yè)網(wǎng)絡(luò)。

虛假Teams安裝程序的攻擊鏈條

Blackpoint SOC發(fā)現(xiàn)這場新型惡意廣告與SEO活動中，威脅者針對“Teams download”等搜索詞布局——當用戶搜索相關(guān)關(guān)鍵詞時，會觸發(fā)推廣虛假下載網(wǎng)站的廣告。

惡意的微軟 Teams 下載網(wǎng)站在 Bing

盡管廣告內(nèi)容與域名未仿冒微軟官方域名，但會引導用戶進入偽裝成微軟Teams下載頁面的teams-install[.]top網(wǎng)站。點擊頁面中的“下載鏈接”后，用戶會獲取名為“MSTeamsSetup.exe”的文件，該文件名與微軟官方Teams安裝程序完全一致。

假冒微軟 Teams 網(wǎng)站分發(fā) Oyster 惡意軟件安裝程序

這款惡意的MSTeamsSetup.exe文件使用了“4th State Oy”與“NRM NETWORK RISK MANAGEMENT INC”兩家機構(gòu)的數(shù)字證書進行簽名，以此增強文件的可信度。

但該文件執(zhí)行后，會向設(shè)備的%APPDATA%\Roaming文件夾釋放名為CaptureService.dll的惡意動態(tài)鏈接庫。為實現(xiàn)持久化控制，安裝程序還會創(chuàng)建名為“CaptureService”的計劃任務(wù)，每11分鐘執(zhí)行一次該DLL，確保設(shè)備重啟后后門仍能保持活躍。

攻擊特點與防御建議

此類活動與此前“偽裝谷歌Chrome、微軟Teams安裝程序傳播Oyster”的攻擊模式高度相似，印證了SEO惡意廣告仍是黑客入侵企業(yè)網(wǎng)絡(luò)的主流手段。他們以可信軟件為幌子，分發(fā)常見后門程序。與今年早些時候發(fā)現(xiàn)的虛假PuTTY攻擊活動類似，威脅者正利用用戶對搜索結(jié)果及知名品牌的信任，獲取初始訪問權(quán)限。

由于IT管理員是黑客獲取高權(quán)限憑據(jù)的重點目標，因此建議管理員：僅從經(jīng)過驗證的官方域名下載軟件，避免點擊搜索引擎中的廣告鏈接。

參考及來源：https://www.bleepingcomputer.com/news/security/fake-microsoft-teams-installers-push-oyster-malware-via-malvertising/