在最近的一份报告中，赛博瑞安全服务团队公布了与臭名昭著的 “Andromeda”（又名 Gamarue）恶意软件家族相关联的一个新的命令与控制（C2）服务器集群。这种恶意软件至少从 2011 年开始活跃，以模块化设计和适应性强而著称，是网络犯罪分子的多面手。Cybereason 的最新发现显示，该恶意软件的目标活动集中在亚太地区，重点是制造业和物流业。

Andromeda病毒历来通过恶意电子邮件附件、受感染的 USB 驱动器和次级有效载荷传播，现在它仍在继续发展。Cybereason解释说：“后门具有下载和执行其他恶意软件、窃取密码等敏感信息和创建远程访问后门的能力。这种灵活性使其成为工业间谍活动的一致选择。”

报告揭示了威胁行为者采用的复杂方法。最初的感染载体主要包括 “USB Drop 攻击”，即被入侵的 USB 驱动器在连接后自动执行恶意文件。一旦被感染，rundll32.exe 就会被用来加载伪装的 DLL，通常以 ~$W*.USBDrv 或 ~$W*.FAT32 等模式命名。

一项重要发现强调了 “desktop.ini ”文件是如何作为有效载荷启动恶意软件活动的，这些文件通常伪装成无害的系统文件。这些文件经常通过 WebDAV 下载，网络活动表明，它们连接到了用*.malware.com 等常见名称下的证书注册的恶意域。

新的 C2 服务器集群展示了复杂的基础设施。在赛博瑞调查期间，一个 C2 域名 suckmycocklameavindustry[.]in解析到了多个IP地址。这种适应性实现了动态命令传递，确保了恶意软件与其操作者之间的不间断通信。

Cybereason 的团队强调说：“我们已经确定了一组 IP 地址，它们与 Andromeda 后门一起被用作 C2。”

报告指出了与臭名昭著的 Turla 组织（又名 UNC4210）的潜在联系。“报告指出：“这一特殊活动似乎是对旧版 Andromeda 样本的重新利用，其 C2 被 UNC4210 劫持。”

该活动的重点是破坏亚太地区的制造和物流公司，其动机涉嫌工业间谍活动。攻击者利用 Andromeda 的模块化设计来渗透网络、渗出敏感数据并执行进一步的有效载荷。

文章原文链接:https://www.anquanke.com/post/id/302450