2025年第一季度五大活跃恶意软件攻击趋势

2025年第一季度，年第网络安全战场硝烟四起 
，季度件攻击网络犯罪分子继续发起新的大活攻击并优化其攻击手段 。本文对五大值得关注的跃恶意软恶意软件进行了概述和简要分析 。

NetSupport RAT：利用ClickFix技术传播

2025年初，年第攻击者开始利用一种被称为ClickFix的季度件攻击技术来传播 NetSupport 远程访问木马（RAT）。这种技术会将虚假的大活验证码页面注入被攻陷的网站，诱导用户执行恶意 PowerShell 命令 ，跃恶意软从而下载并运行 NetSupport RAT。年第一旦安装成功 ，季度件攻击该 RAT 会赋予攻击者对受害者系统的大活完全控制权 ，源码下载包括实时屏幕监控 、跃恶意软文件操作以及任意命令执行 。年第

NetSupport RAT 的季度件攻击主要技术特点：

攻击者可以实时查看并控制受害者屏幕。上传、大活下载、修改和删除受感染系统中的文件。远程运行系统命令和 PowerShell 脚本。捕获复制的文本，包括密码和敏感数据
。记录用户按键以窃取凭证。启动、停止和修改系统进程和服务。通过启动文件夹 、亿华云注册表键或计划任务实现持久化。使用进程注入和代码混淆技术逃避检测。通过加密流量与攻击者保持隐秘通信 。

当 NetSupport RAT 感染系统时，它会立即与命令和控制 （C2） 服务器建立连接 ，从而允许攻击者远程作受感染的机器。通过此连接 ，攻击者可以执行系统命令、部署其他恶意软件和修改系统设置 。

检测到的 CnC 连接

NetSupport RAT 还使用多种战术 、技术和程序（TTP）来维持持久性、逃避检测并收集系统数据  。关键的 TTP 包括
：

持久性与执行：修改注册表启动项 ，免费模板通过 wscript.exe 执行脚本。发现：读取计算机名称、检查系统语言并访问环境变量 。防御规避与 C2 通信
：投放合法的 Windows 可执行文件 ，创建远程控制的互联网连接对象。

NetSupport RAT 使用的主要TTP

Lynx 勒索软件：瞄准多行业的加密攻击

Lynx 勒索软件即服务（RaaS）组织以其高度结构化而闻名 ，提供完善的附属计划与强大的加密方法。基于早期 INC 勒索软件的基础 ，Lynx 提升了其能力并扩大了攻击范围
，建站模板瞄准了多 、
、个国家的不同行业 。

Lynx 的附属面板允许其附属机构在用户友好的界面中配置受害者资料
、生成自定义勒索软件样本并管理数据泄露计划。由于其结构化方法 ，即使对于技术专业知识有限的人来说，它也成为最容易获得的勒索软件之一 。

为了激励参与
，Lynx 向附属公司提供 80% 的赎金收益份额 。服务器租用该组织维护着一个泄密网站，如果受害者未能支付赎金，就会在那里发布被盗数据 。

Lynx 主要攻击事件：

2025年第一季度，Lynx 加密了一个领先的澳大利亚卡车经销商系统，以及一家美国专门从事公司法和证券法的律师事务所  ，窃取了大量敏感数据
，威胁受害者支付赎金 。

Lynx 的主要技术特点：

默认加密所有文件，包括本地驱动器
、网络共享和可移动媒体。通过 RaaS 配置，可针对特定文件类型、模板下载文件夹或扩展名。在加密前窃取敏感数据，包括文档、凭证和财务信息。通过 HTTPS 或自定义加密通道传输被盗数据。删除卷影副本并禁用 Windows 恢复功能以防止还原 。关闭可能阻止加密的应用程序。使用凭证转储技术提取存储的密码。通过 Tor 网络匿名通信并与 C2 服务器保持连接 。检测虚拟机和沙箱环境 ，改变行为以逃避分析。在内存中运行，避免将文件写入磁盘
。

可以在下述受控环境中直接观察 Lynx Ransomware 的行为 。成功被感染后，桌面背景被勒索消息替换，攻击者留下一张便条警告所有数据都已被盗和加密，受害者被指示下载 Tor 以联系他们。

攻击者留下的勒索软件消息

一些文件也被重命名，，并附加其扩展名。例如，C ：\Users\admin\Desktop\academicroad.rtf 变为 C
：\Users\admin\Desktop\academicroad.rtf.LYNX 。

检测到使用 .lynx 重命名的文件

整个系统中的数十个文件以这种方式被修改 ，进一步证实了其加密过程 。这些只是 Lynx 在受感染系统内执行的众多破坏性作中的一小部分。

AsyncRAT：利用 Python 负载和 TryCloudflare 隧道

2025 年初，网络安全研究人员发现了一个复杂的恶意软件活动，该活动部署了 AsyncRAT ，这是一种远程访问木马
，以其高效的异步通信功能而闻名。

该活动因其使用基于 Python 的有效负载和利用 TryCloudflare 隧道来增强隐身性和持久性而脱颖而出。

攻击始于一封包含 Dropbox URL 的网络钓鱼电子邮件 。当收件人单击该链接时，他们会下载一个 ZIP 存档，其中包含 Internet 快捷方式 （URL） 文件。反过来，此文件通过 TryCloudflare URL 检索 Windows 快捷方式 （LNK） 文件 。执行 LNK 文件会触发一系列脚本、PowerShell、JavaScript 和批处理脚本，这些脚本会下载并执行 Python 负载 。

此负载负责部署多个恶意软件系列 ，包括 AsyncRAT、Venom RAT 和 XWorm
。

AsyncRAT的主要技术特点：

允许攻击者在受感染的系统上执行命令、监控用户活动和管理文件。能够窃取敏感信息 ，包括凭据和个人数据。采用技术来维护长期访问，例如修改系统注册表和利用启动文件夹。使用混淆和加密来逃避安全解决方案的检测。

AsyncRAT 连接到 masterpoldo02[.]kozow[.]COM 通过端口 7575 ，允许远程攻击者控制受感染的机器。阻止此域并监控流向此端口的流量有助于防止感染 。

此外，AsyncRAT 将自身安装在 %AppData% 中以混入合法应用程序，并使用互斥锁 （AsyncMutex_alosh） 来防止多个实例运行。

在受控环境中分析恶意配置

该恶意软件还使用带有硬编码密钥和 salt 的 AES 加密，使安全工具难以分析其通信 。

AsyncRAT 使用的 AES 加密

Lumma Stealer
：基于 GitHub 的分发

2025 年初 ，网络安全专家发现了一个复杂的活动 ，涉及信息窃取恶意软件 Lumma Stealer 。

攻击者使用 GitHub 的发布基础设施来分发此恶意软件，利用该平台的可信度绕过安全措施。执行后
，Lumma Stealer 会启动其他恶意活动
，包括下载和运行其他威胁，如 SectopRAT、Vidar 
、Cobeacon 和其他 Lumma Stealer 变体 。

Lumma Stealer的主要技术特点 ：

通过 GitHub 版本分发 ，利用可信基础设施来逃避安全检测 。窃取浏览器凭据、cookie 、加密货币钱包和系统信息。将被盗数据发送到远程服务器 ，实现实时泄露
。可以下载和执行其他恶意软件，包括 SectopRAT、Vidar 和 Cobeacon 。使用注册表修改和启动项来维护访问权限 。可通过基于网络的安全监控工具进行检测，揭示恶意通信模式 
。

执行时，恶意软件会连接到其命令和控制服务器，从而让敏感数据泄露。分析还揭示了特定 Suricata 规则的触发 。

由 Lumma Stealer 触发的 Suricata 规则

分析会议还揭示了 Lumma 如何从 Web 浏览器窃取凭据并泄露个人数据。

Lumma Stealer 盗窃凭据和个人数据

InvisibleFerret
：潜伏在虚假工作机会中的无声威胁

在一波社会工程攻击中 ，网络犯罪分子一直在利用 InvisibleFerret（一种基于 Python 的隐蔽恶意软件）来破坏毫无戒心的受害者 。

这种恶意软件在虚假求职面试过程中伪装成合法软件 ，已被积极用于虚假面试活动，攻击者冒充招聘人员诱骗专业人士下载恶意工具。

InvisibleFerret的主要技术特点：

该恶意软件使用杂乱无章且混淆不清的 Python 脚本，使分析和检测具有挑战性。InvisibleFerret 主动搜索和泄露敏感信息 ，包括源代码、加密货币钱包和个人文件
。通常由另一种名为 BeaverTail 的恶意软件作为辅助有效载荷提供 ，BeaverTail是一种基于 JavaScript 的混淆信息窃取程序和加载程序  。该恶意软件在受感染的系统上建立持久性  ，确保持续访问和控制 。

InvisibleFerret 攻击的一个关键要素是部署 BeaverTail，这是一个恶意 NPM 模块，可提供可移植的 Python 环境 （p.zip） 来执行恶意软件
。

分析InvisibleFerret的泄露信息

作为多层攻击链的第一阶段，BeaverTail 设置了 InvisibleFerret，这是一个具有高级混淆和持久性机制的隐蔽后门，使检测变得困难 。

很赞哦!（319）