中國黑客集團為三家亞洲游戲公司提供后門產(chǎn)品

ESET懷疑已經(jīng)有數(shù)十或數(shù)十萬用戶被感染。

圖片：感染主頁的Screengrab

一個臭名昭著的中國網(wǎng)絡(luò)間諜組織稱為Winnti集團，已經(jīng)破壞了亞洲兩家游戲制造商和游戲平臺的網(wǎng)絡(luò)，在其產(chǎn)品中加入了一個后門木馬。

安全

'100個獨特的漏洞和計數(shù)'用于最新的WinRAR安全漏洞

網(wǎng)絡(luò)安全：不要讓小東西給你帶來大問題

為什么安全性是企業(yè)云采用的首要障礙[混合云電視]

紅隊幫助保護開源軟件

斯洛伐克網(wǎng)絡(luò)安全公司ESET今天早些時候發(fā)布的一份報告顯示，其中兩個被入侵的產(chǎn)品不再包括中國黑客的后門。

然而，第三個名為Infestation的游戲- 由泰國開發(fā)商Electronics Extreme制作- 盡管ESET自2月以來通過各種渠道努力通知游戲開發(fā)者，但它仍在推遲更新并可在其后門版本中下載。

雖然ESET不希望命名其他兩個受影響的產(chǎn)品，但ESET報告的IOC(指標妥協(xié))部分中包含的受感染文件哈希指出Garena游戲平臺是第二個受影響的產(chǎn)品。

第三個受影響產(chǎn)品(游戲)的名稱仍然未知。

“我們與其中一位受影響的開發(fā)商合作，我們尊重他們保持匿名的愿望并在最終處理這種情況，”Léveillé在一封電子郵件中告訴ZDNet。“公平地說，我們決定簡單地避免提及已經(jīng)解決問題的出版商的名字。”

至于后門本身，Léveillé表示，Winnti Group以類似的方式修改了這三種產(chǎn)品的可執(zhí)行文件。

IBM Cloud for VMware解決方案：將VMware環(huán)境引入公共云

IBM Cloud for VMware解決方案產(chǎn)品組合為企業(yè)帶來了公共云的優(yōu)勢，同時將中斷，風(fēng)險和變更降至最低。

本IDC白皮書討論了IBM Cloud for VMware Solutions，這是IBM Cloud中托管的VMware環(huán)境產(chǎn)品組合。本文檔重點介紹了該產(chǎn)品組合的優(yōu)勢，并說明了它如何提供安全，靈活的公共云路徑以及更廣泛的數(shù)字化轉(zhuǎn)型。

IBM提供的白皮書

惡意代碼包含在游戲的主要可執(zhí)行文件中，并在運行時解密并在PC的內(nèi)存中啟動執(zhí)行，而原始游戲/游戲平臺按預(yù)期運行。

“這可能表明犯罪分子改變了構(gòu)建配置而不是源代碼本身，”Léveillé說。

研究人員還告訴ZDNet，Winnti Group似乎已經(jīng)使用正常的游戲更新作為向用戶推送后門版本的一種手段，這也是為什么感染沒有被立即發(fā)現(xiàn)并包含在內(nèi)，從而導(dǎo)致大量用戶受到影響的原因。

“好的一面是，C&C [命令和控制]服務(wù)器后來脫機，這限制了攻擊，”Léveillé告訴ZDNet。

這意味著，隨著后門仍然在Electronics Extreme的Infestation游戲中處于活躍狀態(tài)，新用戶將在今天受到感染，但后門將無法聯(lián)系其C&C服務(wù)器以在受感染的主機上下載其他惡意軟件。

ESET研究員Marc-EtienneM.Léveillé今天表示，“鑒于被開發(fā)者仍在分發(fā)受到攻擊的應(yīng)用程序的普及，如果受害者數(shù)量達到數(shù)十或數(shù)十萬，就不足為奇了。”

根據(jù)ESET的遙測數(shù)據(jù)，大多數(shù)受害者來自亞洲國家，這一點并不令人意外，因為該地區(qū)的游戲很受歡迎。

圖片：ESET

一個特別奇怪的是，后門不會在本地語言設(shè)置為中文或俄羅斯的計算機上運行(一些計算機在俄羅斯被感染，因為他們使用的是非俄語設(shè)置)。

后門的作用是下載第二階段木馬，ESET稱這是一個龐大的DLL文件。研究人員無法分析和查看第二個惡意軟件應(yīng)變程序的作用，因為控制此第二階段有效負載的C&C服務(wù)器不會返回其他文件來觸發(fā)惡意軟件的執(zhí)行。

由于原始后門僅支持四個命令并且其C&C服務(wù)器已關(guān)閉，因此用戶暫時不會受到第二個惡意軟件攻擊。

但是，由于Infestation游戲開發(fā)者未能清理他們的服務(wù)器，因此Winnti Group可以使用新的后門部署新的惡意游戲更新，該后門與不同的C&C服務(wù)器通信并重新激活所有以前受感染的用戶。

建議游戲玩家盡快重新安裝他們的系統(tǒng)。

ESET不確定為什么Winnti Group會針對游戲玩家以及此次廣告系列的最終結(jié)果，但該組織過去曾使用受感染的游戲來分發(fā)網(wǎng)絡(luò)間諜惡意軟件。例如，它在2011年之前就已經(jīng)這樣做了。

Winnti Group是一個網(wǎng)絡(luò)間諜服裝，眾所周知，它可以執(zhí)行此類類型的黑客行為 - 被稱為供應(yīng)鏈攻擊。ProtectWise 401TRG2018報告列出了過去的幾起事件，以及他們?nèi)ツ暝跍蕚湮磥砉?yīng)鏈攻擊時從被黑客入侵的軟件公司收集代碼簽名證書的傾向。

這些是最糟糕的黑客攻擊，網(wǎng)絡(luò)攻擊，......看完整個