<ul id="ouw02"></ul>
    •  
    

    • 


    
  
    
    
  
    
   
  
    


    
  
    
    
    
      
    首頁 > 綜合 >  正文
    
      
    wmiprvse.exe這是什么進程（Orchestrator編排器和插件介紹）
    
      
    
        
     2023-02-24 09:29:47來源：互聯網  
    
        
         
    
        
    
         
      
    
      
    
      
       
      		  
	 
        
     
    卡巴斯基的安全研究人員近日發現了一個名為“MATA”的活躍多平臺惡意軟件框架，該框架功能非常全面，支持Windows、Linux和MacOS等多個主流平臺，擁有多個組件，例如加載程序、編排器和插件，全球企業都在其攻擊“射程”范圍內。
    在官方博客上，卡巴斯基實驗室（Kaspersky Lab）透露已經與威脅情報門戶（Threat Intelligence Portal）的客戶共享了MATA的研究信息，主要內容如下：
    與MATA有關的第一批工件出現在2018年4月。然后，惡意軟件框架的幕后行為者積極地滲透包括波蘭、德國、土耳其、韓國、日本和印度在內的全球范圍的企業實體。已經發現的受害者中有一家軟件公司、一家電子商務企業和一家互聯網服務提供商（ISP）。

    (資料圖)
    通過對已知攻擊的分析，研究者弄清楚了該惡意軟件框架的目的。例如，在一個組織中，惡意行為者使用該框架查詢受害者的數據庫，以獲取客戶列表。攻擊者還利用MATA分發了VHD勒索軟件。
    MATA三個版本（Windows、Linux和MacOS）的主要信息如下：
    Windows 版本
    Windows 版本 MATA的組件 來源：卡巴斯基實驗室
    MATA的Windows版本由幾個組件組成，其中包括裝載程序惡意軟件和編排器元素。裝在程序使用硬編碼的十六進制字符串調用加密的有效負載。此操作為協調器加載插件文件并在內存中執行它們鋪平了道路。這些插件使攻擊者能夠篡改文件，創建HTTP代理服務器并執行其他任務。
    加載器
    該加載器采用一個硬編碼的十六進制字符串，將其轉換為二進制并對其進行AES解密，以獲得有效負載文件的路徑。每個加載程序都有一個硬編碼的路徑來加載加密的有效負載。然后，將有效負載文件進行AES解密并加載。
    從一個受感染的受害者那發現的加載程序惡意軟件中，研究人員發現執行加載程序惡意軟件的父進程是“C:\Windows\System32\wbem\WmiPrvSE.exe”進程。WmiPrvSE.exe進程是“WMI Provider Host進程”，通常意味著參與者已從遠程主機執行了該加載程序惡意軟件，以進行橫向移動。因此，攻擊者很可能是使用此加載程序來破壞同一網絡中的其他主機。
    Orchestrator編排器和插件
    研究者在受害者計算機上的lsass.exe進程中發現了Orchestrator編排器惡意軟件。該編排器惡意軟件從注冊表項加載加密的配置數據，并使用AES算法對其解密。除非注冊表值存在，否則惡意軟件會使用硬編碼的配置數據。以下是來自一個編排器惡意軟件樣本的配置值示例：
    編排器可以同時加載15個插件。有三種加載方式：
    ·從指定的服務器下載插件
    ·從指定的磁盤路徑加載AES加密的插件文件
    ·從當前的MataNet連接下載插件文件
    非Windows版本
    MATA框架不僅針對Windows系統，而且針對Linux和macOS系統。Linux版本的MATA在合法的發行站點上可用，而macOS變體作為木馬兩步驗證（2FA）應用程序提供。
    Linux版本
    研究者發現了一個包含不同MATA文件和一套黑客工具的軟件包。可以在合法的分發站點上找到該軟件包，這可能表明這是分發惡意軟件的方式。它包括Windows MATA編排器，用于列出文件夾的Linux工具，用于利用Atlassian Confluence Server（CVE-2019-3396）的腳本，合法的socat工具以及與一組插件捆綁在一起的MATA Orchestrator的Linux版本。中國安全廠商360的網絡安全研究院發布過有關該惡意軟件的詳細博客（/）。
    MacOS版本
    研究人員還在2020年4月8日發現了一個上傳到VirusTotal的攻擊macOS的MATA惡意軟件余本。惡意蘋果硬盤鏡像文件是一個基于開源雙因子認證應用MinaOTP的木馬化macOS應用。
    木馬化 macOS 應用 來源：卡巴斯基實驗室
    與其他跨平臺惡意軟件類似，macOS MATA惡意軟件也以插件形式運行。插件列表與Linux版本幾乎完全相同，但MacOS版本增加了一個名為“plugin_socks”的插件，該插件與“plugin_reverse_p2p” 類似，負責配置代理服務器。
    幕后黑手
    MATA的受害者地理分布 來源：卡巴斯基實驗室
    在研究報告中，卡巴斯基實驗室將MATA惡意軟件平臺歸因于著名的APT組織Lazarus：
    我們評估了MATA框架與LazarusAPT組織之間的聯系。MATA協調器使用兩個唯一的文件名c_2910.cls和k_3872.cls，這些文件名以前僅在幾種Manuscrypt變體中才能看到，包括在US-CERT出版物中提到的樣本（0137f688436c468d43b3e50878ec1a1f）。研究人員指出，由Lazarus發行的惡意軟件家族Manuscrypt的變體與MATA共享了類似的配置結構。這意味著MATA與Lazarus很可能存在直接關聯。卡巴斯基實驗室表示，隨著MATA惡意軟件平臺的發展，它將繼續對其進行監控。
    失陷指標
    文件哈希（惡意文檔、木馬、電子郵件、誘餌）
    Windows加載器
    f364b46d8aafff67271d350b8271505a
    85dcea03016df4880cebee9a70de0c02
    1060702fe4e670eda8c0433c5966feee
    7b068dfbea310962361abf4723332b3a
    8e665562b9e187585a3f32923cc1f889
    6cd06403f36ad20a3492060c9dc14d80
    71d8b4c4411f7ffa89919a3251e6e5cb
    a7bda9b5c579254114fab05ec751918c
    e58cfbc6e0602681ff1841afadad4cc6
    7e4e49d74b59cc9cc1471e33e50475d3
    a93d1d5c2cb9c728fda3a5beaf0a0ffc
    455997E42E20C8256A494FA5556F7333
    7ead1fbba01a76467d63c4a216cf2902
    7d80175ea344b1c849ead7ca5a82ac94
    bf2765175d6fce7069cdb164603bd7dc
    b5d85cfaece7da5ed20d8eb2c9fa477c
    6145fa69a6e42a0bf6a8f7c12005636b
    2b8ff2a971555390b37f75cb07ae84bd
    1e175231206cd7f80de4f6d86399c079
    65632998063ff116417b04b65fdebdfb
    ab2a98d3564c6bf656b8347681ecc2be
    e3dee2d65512b99a362a1dbf6726ba9c
    fea3a39f97c00a6c8a589ff48bcc5a8c
    2cd1f7f17153880fd80eba65b827d344
    582b9801698c0c1614dbbae73c409efb
    a64b3278cc8f8b75e3c86b6a1faa6686
    ca250f3c7a3098964a89d879333ac7c8
    ed5458de272171feee479c355ab4a9f3
    f0e87707fd0462162e1aecb6b4a53a89
    f1ca9c730c8b5169fe095d385bac77e7
    f50a0cd229b7bf57fcbd67ccfa8a5147
    Windows MATA
    bea49839390e4f1eb3cb38d0fcaf897e rdata.dat
    8910bdaaa6d3d40e9f60523d3a34f914
    sdata.dat
    6a066cf853fe51e3398ef773d016a4a8
    228998f29864603fd4966cadd0be77fc
    注冊表路徑
    HKLM\Software\Microsoft\KxtNet
    HKLM\Software\Microsoft\HlqNetHKLM\Software\mthjk
    Linux MATA
    859e7e9a11b37d355955f85b9a305fec mdata.dat
    80c0efb9e129f7f9b05a783df6959812 ldata.dat，mdata.datd2f94e178c254669fb9656d5513356d2 mdata.dat
    Linux日志收集器
    982bf527b9fe16205fea606d1beed7fa hdata.dat
    開源Linux SoCat
    e883bf5fd22eb6237eb84d80bbcf2ac9 sdata.dat
    利用Atlassian Confluence Server的腳本
    a99b7ef095f44cf35453465c64f0c70c check.vm，r.vm
    199b4c116ac14964e9646b2f27595156 r.vm
    macOS MATA
    81f8f0526740b55fe484c42126cd8396 TinkaOTP.dmg
    f05437d510287448325bac98a1378de1 SubMenu.nib
    C2服務器地址
    104.232.71.7:443
    107.172.197.175:443
    108.170.31.81:443
    111.90.146.105:443
    111.90.148.132:443
    172.81.132.41:443
    172.93.184.62:443
    172.93.201.219:443
    185.62.58.207:443
    192.210.239.122:443
    198.180.198.6:443
    209.90.234.34:443
    216.244.71.233:443
    23.227.199.53:443
    23.227.199.69:443
    23.254.119.12:443
    67.43.239.146:443
    68.168.123.86:443
    更多詳細信息請參考卡巴斯基APT報告：
    MATA：針對多平臺的惡意軟件框架：
    /
    合作電話：18311333376
    合作微信：aqniu001
    投稿郵箱：editor@aqniu.com
    		
          
    
		  
	
    標簽：
	 
	
    
	
        
    
      
    
	
      
    
      
      
    
	
	

    

    相關閱讀
    	


    
		
    
     
    
     

   


    
    
    
      
    精彩推薦
    
       
    
        
      
          
    
  
    
  

   


  
  

   

   
    
    
    
      
    相關詞
    
       
    
    
  
    
    

    
  
    

    

    
  
    
    
     
      
    推薦閱讀
    
    
    
    
  
    

    



	



亚洲成A人片在线观看无码3D|
亚洲第一网站免费视频|
精品日韩99亚洲的在线发布|
亚洲小视频在线观看|
亚洲av日韩av无码黑人|
亚洲国产精品无码久久一线|
gogo全球高清大胆亚洲|
亚洲男女内射在线播放|
亚洲免费在线观看|
久久久久亚洲AV成人网人人软件|
亚洲日韩VA无码中文字幕|
国产L精品国产亚洲区久久
|
亚洲另类春色校园小说|
亚洲人成在线播放|
亚洲一区二区三区精品视频
|
亚洲乱码在线播放|
亚洲图片中文字幕|
亚洲六月丁香六月婷婷蜜芽|
亚洲香蕉在线观看|
亚洲一区二区观看播放|
亚洲国产AV无码一区二区三区|
色窝窝亚洲av网|
色欲色欲天天天www亚洲伊|
精品国产日韩亚洲一区91|
亚洲Av无码国产情品久久|
亚洲国产成人久久一区久久|
国产av无码专区亚洲国产精品
|
亚洲剧情在线观看|
亚洲妇女熟BBW|
亚洲另类无码专区首页|
精品亚洲视频在线|
中文字幕精品无码亚洲字|
国产亚洲精品xxx|
亚洲AV日韩AV鸥美在线观看|
亚洲精品亚洲人成在线观看麻豆|
亚洲一区二区免费视频|
亚洲AV成人精品日韩一区|
亚洲偷自拍拍综合网|
亚洲gv白嫩小受在线观看|
亚洲黑人嫩小videos|
在线综合亚洲中文精品|