wmiprvse.exe這是什么進程（Orchestrator編排器和插件介紹）
卡巴斯基的安全研究人員近日發現了一個名為“MATA”的活躍多平臺惡意軟件框架，該框架功能非常全面，支持Windows、Linux和MacOS等多個主流平臺，擁有多個組件，例如加載程序、編排器和插件，全球企業都在其攻擊“射程”范圍內。
在官方博客上，卡巴斯基實驗室（Kaspersky Lab）透露已經與威脅情報門戶（Threat Intelligence Portal）的客戶共享了MATA的研究信息，主要內容如下：
與MATA有關的第一批工件出現在2018年4月。然后，惡意軟件框架的幕后行為者積極地滲透包括波蘭、德國、土耳其、韓國、日本和印度在內的全球范圍的企業實體。已經發現的受害者中有一家軟件公司、一家電子商務企業和一家互聯網服務提供商（ISP）。
(資料圖)
通過對已知攻擊的分析，研究者弄清楚了該惡意軟件框架的目的。例如，在一個組織中，惡意行為者使用該框架查詢受害者的數據庫，以獲取客戶列表。攻擊者還利用MATA分發了VHD勒索軟件。
MATA三個版本（Windows、Linux和MacOS）的主要信息如下：
Windows 版本
Windows 版本 MATA的組件 來源：卡巴斯基實驗室
MATA的Windows版本由幾個組件組成，其中包括裝載程序惡意軟件和編排器元素。裝在程序使用硬編碼的十六進制字符串調用加密的有效負載。此操作為協調器加載插件文件并在內存中執行它們鋪平了道路。這些插件使攻擊者能夠篡改文件，創建HTTP代理服務器并執行其他任務。
加載器
該加載器采用一個硬編碼的十六進制字符串，將其轉換為二進制并對其進行AES解密，以獲得有效負載文件的路徑。每個加載程序都有一個硬編碼的路徑來加載加密的有效負載。然后，將有效負載文件進行AES解密并加載。
從一個受感染的受害者那發現的加載程序惡意軟件中，研究人員發現執行加載程序惡意軟件的父進程是“C:\Windows\System32\wbem\WmiPrvSE.exe”進程。WmiPrvSE.exe進程是“WMI Provider Host進程”，通常意味著參與者已從遠程主機執行了該加載程序惡意軟件，以進行橫向移動。因此，攻擊者很可能是使用此加載程序來破壞同一網絡中的其他主機。
Orchestrator編排器和插件
研究者在受害者計算機上的lsass.exe進程中發現了Orchestrator編排器惡意軟件。該編排器惡意軟件從注冊表項加載加密的配置數據，并使用AES算法對其解密。除非注冊表值存在，否則惡意軟件會使用硬編碼的配置數據。以下是來自一個編排器惡意軟件樣本的配置值示例：
編排器可以同時加載15個插件。有三種加載方式：
·從指定的服務器下載插件
·從指定的磁盤路徑加載AES加密的插件文件
·從當前的MataNet連接下載插件文件
非Windows版本
MATA框架不僅針對Windows系統，而且針對Linux和macOS系統。Linux版本的MATA在合法的發行站點上可用，而macOS變體作為木馬兩步驗證（2FA）應用程序提供。
Linux版本
研究者發現了一個包含不同MATA文件和一套黑客工具的軟件包。可以在合法的分發站點上找到該軟件包，這可能表明這是分發惡意軟件的方式。它包括Windows MATA編排器，用于列出文件夾的Linux工具，用于利用Atlassian Confluence Server（CVE-2019-3396）的腳本，合法的socat工具以及與一組插件捆綁在一起的MATA Orchestrator的Linux版本。中國安全廠商360的網絡安全研究院發布過有關該惡意軟件的詳細博客（/）。
MacOS版本
研究人員還在2020年4月8日發現了一個上傳到VirusTotal的攻擊macOS的MATA惡意軟件余本。惡意蘋果硬盤鏡像文件是一個基于開源雙因子認證應用MinaOTP的木馬化macOS應用。
木馬化 macOS 應用 來源：卡巴斯基實驗室
與其他跨平臺惡意軟件類似，macOS MATA惡意軟件也以插件形式運行。插件列表與Linux版本幾乎完全相同，但MacOS版本增加了一個名為“plugin_socks”的插件，該插件與“plugin_reverse_p2p” 類似，負責配置代理服務器。
幕后黑手
MATA的受害者地理分布 來源：卡巴斯基實驗室
在研究報告中，卡巴斯基實驗室將MATA惡意軟件平臺歸因于著名的APT組織Lazarus：
我們評估了MATA框架與LazarusAPT組織之間的聯系。MATA協調器使用兩個唯一的文件名c_2910.cls和k_3872.cls，這些文件名以前僅在幾種Manuscrypt變體中才能看到，包括在US-CERT出版物中提到的樣本（0137f688436c468d43b3e50878ec1a1f）。研究人員指出，由Lazarus發行的惡意軟件家族Manuscrypt的變體與MATA共享了類似的配置結構。這意味著MATA與Lazarus很可能存在直接關聯。卡巴斯基實驗室表示，隨著MATA惡意軟件平臺的發展，它將繼續對其進行監控。
失陷指標
文件哈希（惡意文檔、木馬、電子郵件、誘餌）
Windows加載器
f364b46d8aafff67271d350b8271505a
85dcea03016df4880cebee9a70de0c02
1060702fe4e670eda8c0433c5966feee
7b068dfbea310962361abf4723332b3a
8e665562b9e187585a3f32923cc1f889
6cd06403f36ad20a3492060c9dc14d80
71d8b4c4411f7ffa89919a3251e6e5cb
a7bda9b5c579254114fab05ec751918c
e58cfbc6e0602681ff1841afadad4cc6
7e4e49d74b59cc9cc1471e33e50475d3
a93d1d5c2cb9c728fda3a5beaf0a0ffc
455997E42E20C8256A494FA5556F7333
7ead1fbba01a76467d63c4a216cf2902
7d80175ea344b1c849ead7ca5a82ac94
bf2765175d6fce7069cdb164603bd7dc
b5d85cfaece7da5ed20d8eb2c9fa477c
6145fa69a6e42a0bf6a8f7c12005636b
2b8ff2a971555390b37f75cb07ae84bd
1e175231206cd7f80de4f6d86399c079
65632998063ff116417b04b65fdebdfb
ab2a98d3564c6bf656b8347681ecc2be
e3dee2d65512b99a362a1dbf6726ba9c
fea3a39f97c00a6c8a589ff48bcc5a8c
2cd1f7f17153880fd80eba65b827d344
582b9801698c0c1614dbbae73c409efb
a64b3278cc8f8b75e3c86b6a1faa6686
ca250f3c7a3098964a89d879333ac7c8
ed5458de272171feee479c355ab4a9f3
f0e87707fd0462162e1aecb6b4a53a89
f1ca9c730c8b5169fe095d385bac77e7
f50a0cd229b7bf57fcbd67ccfa8a5147
Windows MATA
bea49839390e4f1eb3cb38d0fcaf897e rdata.dat
8910bdaaa6d3d40e9f60523d3a34f914
sdata.dat
6a066cf853fe51e3398ef773d016a4a8
228998f29864603fd4966cadd0be77fc
注冊表路徑
HKLM\Software\Microsoft\KxtNet
HKLM\Software\Microsoft\HlqNetHKLM\Software\mthjk
Linux MATA
859e7e9a11b37d355955f85b9a305fec mdata.dat
80c0efb9e129f7f9b05a783df6959812 ldata.dat，mdata.datd2f94e178c254669fb9656d5513356d2 mdata.dat
Linux日志收集器
982bf527b9fe16205fea606d1beed7fa hdata.dat
開源Linux SoCat
e883bf5fd22eb6237eb84d80bbcf2ac9 sdata.dat
利用Atlassian Confluence Server的腳本
a99b7ef095f44cf35453465c64f0c70c check.vm，r.vm
199b4c116ac14964e9646b2f27595156 r.vm
macOS MATA
81f8f0526740b55fe484c42126cd8396 TinkaOTP.dmg
f05437d510287448325bac98a1378de1 SubMenu.nib
C2服務器地址
104.232.71.7:443
107.172.197.175:443
108.170.31.81:443
111.90.146.105:443
111.90.148.132:443
172.81.132.41:443
172.93.184.62:443
172.93.201.219:443
185.62.58.207:443
192.210.239.122:443
198.180.198.6:443
209.90.234.34:443
216.244.71.233:443
23.227.199.53:443
23.227.199.69:443
23.254.119.12:443
67.43.239.146:443
68.168.123.86:443
更多詳細信息請參考卡巴斯基APT報告：
MATA：針對多平臺的惡意軟件框架：
/
合作電話：18311333376
合作微信：aqniu001
投稿郵箱：editor@aqniu.com
標簽：
相關閱讀
-
wmiprvse.exe這是什么進程（Orchestrator編排器和插件介紹）
卡巴斯基的安全研究人員近日發現了一個名為“MATA”的活躍多平臺惡意軟件框架，該框架功能非常全面，支...
2023-02-24 -
-
-
-
-
-
wmiprvse.exe這是什么進程（Orchestrator編排器和插件介紹）
卡巴斯基的安全研究人員近日發現了一個名為“MATA”的活躍多平臺惡意軟件框架，該框架功能非常全面，支...
2023-02-24 -
-
環球關注：摔角動態弟弟頭銜反成RAW最大亮點 其中歷經9次易手
北京時間2019年7月23日進行的RAW巨星重聚節目之中，除了公布的傳奇巨星名單之外，約翰·塞納(JohnCena)...
2023-02-24 -
-
【世界聚看點】cheerleading team翻譯（cheerleading）
一、題文層油際溫土廠世又先據引活業解可維九點層油際溫土廠世又先據引活業解可維九點層油際溫土廠世又...
2023-02-24 -
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
全球看熱訊：摔角動態夏洛特 同安德雷德劇情分離是對他最好的選擇
摔角網訊，北京時間2020年1月16日，女星夏洛特接受了UKMetro的專訪，其中談及到了自己同安德雷德的劇情...
2023-02-24 -
焦點信息:iphone降級教程ios12（iPhone降級教程）
SHSH其實是ECIDiOS某個版本加起來形成的特征碼。對于一部iPhone3GS或者iPhone4，如果想刷到某個版本，需...
2023-02-24 -
全球即時：我國寶貴的歷史文化遺產有哪些三年級下冊（我國寶貴的歷史文化遺產）
一、題文我國的歷史文化遺產有哪些?二、解答一、屬于文化遺產有21處：1、明清皇宮（北京故宮、沈陽故宮...
2023-02-24 -
-
-
-
-
環球熱頭條丨2-1，4-3！曼聯羅馬上演逆轉，巴薩遭淘汰，穆帥有望重回夢劇場
歐聯杯淘汰賽附加賽次回合全部落下帷幕，羅馬在首回合客場0-1輸給了薩爾茨堡紅牛，曼聯則在諾坎普球場和...
2023-02-24 -
-
英超曼聯4-3淘汰西甲巴薩！羅馬2-1晉級歐聯之王3-2滕哈赫穆里尼奧笑了
北京時間2月24日凌晨，這或許是近十年來身價最高的歐聯杯淘汰賽，英超紅魔曼聯2-1逆轉西甲豪門巴薩，以...
2023-02-24 -
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
精彩推薦
閱讀排行
相關詞
- 沃爾沃XC90
- 摔角動態瘋人院長確認將在《摔角狂熱》周參賽 對手強悍
- 環球熱資訊！摔角動態同TNT正式延長合作 合約期限曝光 未來還將開新秀
- 摔角動態多位頂級明星擂臺名已注冊為商標 為目的是為了...
- 春天是什么味的？蒙自的菜市場告訴你→
- 【世界熱聞】日本最經典的純音樂_日本經典好聽的純音樂
- 才貌雙全，學習能力強，內外兼修，最受歡迎的3大生肖女
- 環球精選！3-0，晉級！梅西搭檔炸裂表演：帽子戲法，刷爆3大紀錄，獲評10分
- 焦點觀察：百萬英里 Cruise無人駕駛汽車達成里程碑
- 當前快看：三鳴降糖降脂奶粉能否替換藥物？用戶質疑或涉嫌虛假宣傳
- 【焦點熱聞】為什么反復強調春季釣淺水？對于新手這才是最靠譜的釣法！
- 有保羅的太陽，杜蘭特能拿冠軍嗎？杜蘭特的離開就是雙贏局面
- 環球新資訊：漂泊的船,能否駛向夢想的岸
- 環球新動態：三消息：約基奇MVP榜第一，字母哥恐帶傷作戰，韓旭續約自由人
- 煙葉和臘肉能帶上飛機嗎?
- 當前觀點：愛的魔法歌曲（愛的魔方）
- 環球熱文：摔角動態布克·T一針見血 揭露大布獲得UFC重量級冠軍挑戰資格的實質原因
- 據新聞晨報報道還有一個多星期2021賽季的中超轉會窗口就將開啟
- 速看：阿里布達年代全本txt下載（阿里布達年代記全集）
- 環球速看：月島秀九郎vs朽木白哉（月島秀九郎）
- 全球簡訊:曝周琦下家出爐，李春江笑納大禮，睢冉成大贏家，遼籃空歡喜一場
- 資訊推薦:美媒盤點美國使用“間諜氣球”歷史：已有數十年 一戰時已投入
- 天天百事通！陌生的全明星，終究抵不過歲月的沉淀，還是懷念記憶里的那一抹紅
- 今日熱訊：中國男籃贏了，但第四節是一個災難！崔永熙0分，央視：投籃太差
- 今日辟謠（2023年2月23日）
- 世界快看：糖尿病的診斷標準是怎樣的？一文參考下
- 天天百事通！重視新農人的新需求
- 安迪格雷建議溫斯坦利聘請穆里尼奧，芒特的要求有些“出格”
- 【環球快播報】紅霉素軟膏的作用和功效在哪幾個方面呢？了解下
- 焦點速看：【地評線】東湖評論：發展夜間新經濟，助力城市新發展
- 智慧城市建設開足馬力——數字“算力”提升城市“腦力”
- 含“花”量爆表！紅河賞花攻略來了~
- 惟一和唯一有區別嗎（惟一）
- 天天最新：今年高考零分作文安徽（今年高考零分作文）
- 擁戴的近義詞是什么詞（擁戴的近義詞）
- 天天關注：形容人美麗的成語有哪些（形容人美麗的成語）
- 兩種疾病高發，家長一定要注意→
- 天天報道:摔角動態德魯·麥金泰爾首談 2014年遭解雇后的心路歷程
- 世界消息！無愧世界第一！孫穎莎奪冠！提前鎖定世錦賽門票，球迷卻仍有遺憾
- 柔性執法傳遞法治溫度（金臺銳評）
- 世界熱點評！“2022年中國考古新發現”在京揭曉
- 低壓高的高血壓，都有哪些特點，該如何選擇降壓藥？了解下
- 【天天聚看點】今日足球：磐田喜悅vs岡山綠雉、清水鼓動vs水戶蜀葵
- 外交部：美方所謂的情報不外乎是捕風捉影 對中方污蔑抹黑之詞
- 天天視訊！第一個直通德班名額產生，孫穎莎3-0陳幸同，榮獲女單冠軍
- 快資訊丨國防部：美炒作所謂“中國核威脅”是為其維持軍事霸權尋找借口
- 農夫的好日子“種”出來：家門口有活干、有錢賺
- 環球頭條：春風用拼圖劇透Moto3新賽季信息，周末要有大事發生
- 美“毒列車”廢物將運至千里外處理 民眾擔心運輸中再出危險
- 全球速讀：走遍天下書為侶讀后感50字（走遍天下書為侶）
- 天天頭條：其人弗能應也的弗是什么意思
- 今日熱門!寒食寄京師諸弟古詩（寒食寄京師諸弟）
- 【環球快播報】世的部首查字典怎么查（世的部首）
- 我國成功發射中星26號衛星
- 神仙打架！馬龍勝樊振東奪冠
- 點贊！昆湖小學參加2022年青少年電子制作教育競賽活動喜獲佳績
- 環球熱議:申花以40%的選票排名第一進入了東亞區的決賽
- 天天動態:周鵬擔任男籃隊長，杜鋒考察陳國豪，四川簽約克勞福德
- 焦點日報：來自西蒙斯的反噬，想爭老大被拒，西蒙斯開啟在籃網混吃混喝模式
- 新動態：不是黃政宇！泰山第5內援確定！魯媒：來自豪門，泰山掏了轉會費
- 環球今亮點！人生迎來曙光，未來7天里將會運勢頂呱呱，與錢財有緣的5個星座
- 焦點快報!【地評線】東湖評論：直播帶崗為企業和勞動者搭建“云端橋梁”
- 世界微頭條丨平心而論！詹姆斯有哪些技術可以稱為世界第一？
- 奮進的春天｜提供精準服務，大虹橋-中歐企業跨國交流合作平臺成立
- 觀熱點：腦出血前，身體會給出這幾個“提示”，但是大多數人都沒有在意！
- 全球時訊：【奮進的春天】強村富民描繪鄉村振興畫卷
- 世界熱點評！【奮斗在希望的田野上?】東湖評論:讓人才在鄉村振興中唱主角
- 提醒丨鄭重聲明！
- 全球最新：做自己想做的人全集在線閱讀（做自己想做的人）
- 【天天時快訊】據足球報的消息上海上港已經跟多名本土球員完成續約
- 炎熱的反義詞（火熱的反義詞）
- 安徽淮南一商人自稱企業巨額資金去向不明 審計結果異同成立案“勝負手”
- 摔角動態外媒爆料隆達·羅西或于今年十月重返!
- 郎的組詞和拼音（郎的組詞）
- 皮膚暗黃，吃什么水果好？
- 焦點精選！醫學實驗室污水處理設備，智能實驗室污水處理設備簡介
- 鐵大科技申購在即：實控人辭掉“鐵飯碗”，客戶集中度高
- 天天短訊！觀點的英文單詞（觀點的英文）
- 摔角動態博比·魯德談成為 NXT冠軍第一挑戰者感想
- 焦點速看：暢通“醫”“學”路！前興路與前旺路交叉口有新調整 | 2023交通暢通提升行動第7期
- 童話故事作文600字5篇（童話故事作文600字）
- 環球微速訊：最近要降溫，駕車出行帶上安全“錦囊”
- 世界新消息丨不可再生能源給環境帶來的主要問題（不可再生能源）
- 今日要聞!校園 | 昆明市殘聯到盤龍區培智學校調研盤龍區特殊教育發展情況
- 科普丨帶您了解什么是功能性消化不良！
- 【環球新要聞】本年度廣東足球先生候選名單出爐
- 春天，多給孩子喝5種湯，別不舍得，孩子愛喝猛長個，身體更健康
- 美出新高度！中國跳高女神最新美照曝光，穿禮服出鏡超有范兒
- 搭載驍龍8 Gen 2處理器！索尼Xperia 5 V跑分曝光
- 焦點熱門:洛杉磯時間與北京時間對照表圖_洛杉磯時間與北京時間對照表
- 當前視訊！中科曙光2022年歸母凈利約15.15億元，同比增幅達30.92%
- 超值價！16G內存跌破200元
- 難爭冠！美媒：2換2交易曝光，尼克斯迎來復興希望，76人也不虧
- 當前觀點：哎！你見過這樣的威少？在倫納德面前一點面子不要
- 世界最資訊丨魅族20 Pro配置曝光：主攝5000萬像素、搭載二代驍龍8處理器
- 看熱訊：總計38.96億元！特變電工子公司擬投建3個煤礦項目
- 全球快看：“飛鴿”NBA：掘金VS騎士騎士能否捍衛主場，避免連敗？
- 三思而后行是哪三思 思危（三思而后行是哪三思）
- 天天訊息：摔角動態CM·朋克與AJ·李被曝 同時參演恐怖新作《狂犬病》
- 一口要到牛尾巴謎語（一口咬掉牛尾巴打一字）
- 環球即時：出院后，他拿著錦旗來到公安局……
- 舞蹈組合中國舞（舞蹈組合）
- 云南中醫藥大學第二附屬醫院2023年招聘第三批見習人員通知
- 李醫生去黑頭（李醫生去黑頭）
- 速讀：Gartner發布至2025年影響技術提供商的首要趨勢
- 觀焦點：退籍費250元，高拉特即將恢復巴西國籍 恒大當初為讓他入籍花了8億
- 滾動：【新時代 新征程 新偉業·安徽實踐】不止悠悠藥香 更有振興“良方”
- 環球熱資訊！【代表委員風采】培育壯大鄉村特色產業——訪全國人大代表、池州市貴池區梅村鎮霄坑村黨委書記王建偉
- 兩年只打35場比賽，虧大了！都怪該死的傷病，8000萬美金打水漂
- 快看點丨勞倫斯世界體育獎“專門打壓”中國選手？跳水隊獎杯被偷走
- 今日訊！跨境電商系統積加ERP，獨立部署賬號數據安全滿級
- 全球熱推薦：交易收獲兩主力，10人輪換皆為首發級別，戈登補齊快船最弱一環
- 觀天下·美國列車脫軌 | 美國政府要求運營商對“毒列車”事件負全責
- 世界熱推薦：【榜樣】希望田野的“守護者”——記鳳陽縣農業技術推廣中心主任徐德明（下）
- 環球微動態丨防范電信網絡詐騙 | 國家反詐中心《防范電信網絡詐騙宣傳手冊》
- 明年一月建業新賽季冬訓將正式開啟
- 打高爾夫球想要突破90桿短桿是很重要的一環
- 天天熱議:電動車火災那些事兒
- 全球時訊：在果嶺邊將球一桿劈上果嶺再一推進洞
- 當前報道:打上果嶺牽涉到的不只是技巧也關系到用桿選擇
- 摔角動態泰德斯針對胡克·霍根,在網上發表敏感性言論
- 民間老大爺釣大板鯽的餌料原來是這樣做的！
- 環球快播：還是遼粵爭霸！CBA全明星首發出現新人，山東男籃依然沒機會
- 全球消息！農業農村部：春耕備耕扎實推進 農資供給充足
- 焦點熱訊:德羅贊21投14中砍下33分！拉文出現4失誤公牛慘遭翻盤不敵步行者
- 【環球新要聞】需求暴跌！首個獲FDA批準的新冠自測試劑盒制造商申請破產
- 今日最新！奮進的春天｜不負春光 天山南北重點項目開復工熱火朝天
- 徐靜雨：NBA不開天眼選秀，詹姆斯、奧尼爾、奧拉朱旺排前三
- 華興資本發布《CR Index華興一級市場溫度指數（第四期）》：2023開年一級市場熱度有望復蘇
- 世界觀點：奮進的春天|高原煙火氣中潛藏的消費復蘇
- 世界觀｜“開槍，從娃娃抓起”
- 焦點播報:美媒：因高通脹承受財務壓力 超4成美民眾動用退休儲蓄維持生計
- 通達創智2月23日開啟詢價 五大優勢奠定行業領先地位
- 天天精選！美國知名學者：美國記者西摩·赫什調查報告可信度高
- 跆拳道！永州這3所學校為試點學校！
- 【世界播資訊】瓜迪奧拉全場0換人這在賽后引發了質疑
- 環球百事通！豐寧街道組織開展家門口的招聘會系列活動
- 最新資訊：申花確定下個月25日開始集結正式開始新賽季的備戰
- 天天新動態：防患于未“燃” 筑牢安全線——紅云街道開展燃氣隱患排查專項整治行動
- 微資訊！有些大炮手愛好者短桿相對又差點給自己帶來不少的煩惱
- 摔角動態大布確定參加《夏日狂潮2018》 頭號挑戰者下周揭曉
- 快報：奔馳官宣自研OS：抖音裝入車機
- 每日熱文：瓜迪奧拉的固執是曼城未能取勝的主要原因
- 今亮點！科普 | 眩暈常用藥「倍他司汀」，3個方面搞清楚！
- 焦點熱訊:宙斯之眾神之王（宙斯之后的第四任神王）相關資料介紹
- 余額寶收益到賬時間（余額寶收益介紹）
- 環球視訊！中國球迷最欣賞的日本球員！與中國隊對抗多年，30歲生日被表白！
- 魅族20預訂量突破15萬 僅僅過去26小時
- 通訊！雷神3 彩蛋（海拉為什么怕火焰巨人）
- 世界訊息：突發！羅馬隊遭毀滅打擊，穆里尼奧透露重要信息，迪巴拉很意外
- 清穿小說推薦（5本清穿蘇爽小甜文：《清穿之媚寵入骨》）
