北京
一個勒索軟件組織把遠程控制木馬藏進了微軟Teams的加密通信管道里。據(jù)博通旗下賽門鐵克與Carbon Black團隊發(fā)布的調(diào)查報告，DragonForce勒索軟件的攻擊者近期被觀察到使用一款名為Backdoor.Turn的定制Go語言遠控木馬（RAT），將命令與控制（C2）服務(wù)器的通信流量偽裝成指向微軟Teams中繼基礎(chǔ)設(shè)施的正常連接。
這套手法的突破口不在Teams本身，而在微軟提供的TURN（NAT穿透中繼協(xié)議）基礎(chǔ)設(shè)施上?！癇ackdoor.Turn從微軟Skype支持的身份驗證服務(wù)獲取一個匿名的Teams訪客令牌，接著使用合法的微軟TURN中繼建立連接，然后運行一個QUIC會話直達攻擊者的真實C2服務(wù)器，”Threat Hunter團隊在向The Hacker News提供的報告中解釋道。對于網(wǎng)絡(luò)防御者而言，他們能看到的唯一流量就是指向合法微軟Teams服務(wù)器的出站連接。這套隱蔽機制讓攻擊者在受害者網(wǎng)絡(luò)中活動了大約一到兩個月才被發(fā)現(xiàn)。
這次事件標(biāo)志著首次有公開記錄的攻擊者濫用微軟TURN中繼基礎(chǔ)設(shè)施的案例。安全研究人員推測，攻擊者可能通過SQL或MS-SQL服務(wù)器的某個漏洞獲取初始訪問權(quán)限，不過漏洞的具體性質(zhì)尚不明確；另一種可能性是，這個入口是從初始訪問經(jīng)紀(jì)人（IAB）那里買來的。
根據(jù)時間線還原，受害者網(wǎng)絡(luò)上的首次惡意活動始于2025年12月。攻擊者執(zhí)行了一條PowerShell命令，以技術(shù)支持熱修復(fù)的名義部署了一個ZIP壓縮包。這個壓縮包啟動了一次DLL側(cè)加載攻擊：它釋放出一個惡意DLL，隨即執(zhí)行環(huán)境偵察、建立持久化機制，并利用一個華為驅(qū)動程序（HWAuidoOs2Ec.sys文件）抑制安全軟件的運行。這套讓安全軟件閉嘴的操作，靠的是一種叫“自帶漏洞驅(qū)動程序”（BYOVD）的攻擊手法。
對驅(qū)動程序的濫用不止這一種。調(diào)查中發(fā)現(xiàn)的同類BYOVD驅(qū)動還包括：wsftprm.sys（CVE-2023-52271）、GameDriverX64.sys（CVE-2025-61155）、K7RKScan.sys（CVE-2025-1055），以及名為ABYSSWORKER的自制惡意驅(qū)動——后者此前曾在Medusa勒索軟件的攻擊中出現(xiàn)。值得一提的是，同一款華為驅(qū)動在另一起大規(guī)模惡意廣告活動中也被使用過，那次活動針對的是在美國搜索稅務(wù)相關(guān)文件的個人，只不過這起事件據(jù)說發(fā)生在勒索軟件事件之后。
最讓研究人員警覺的一個細節(jié)，是Backdoor.Turn在DragonForce部署勒索軟件之后才被注入到合法的DbgView64.exe進程中繼續(xù)運行。這個時間點說明，攻擊者的目標(biāo)不只是加密數(shù)據(jù)、索要贖金，而是想在被攻陷的主機上保留長期訪問通道，為后續(xù)攻擊做準(zhǔn)備，或者將網(wǎng)絡(luò)訪問權(quán)限轉(zhuǎn)手牟利。Backdoor.Turn的TURN中繼通信機制，借鑒了一種名為Ghost Calls的隱蔽C2通信技術(shù)——該技術(shù)最早由Praetorian在2024年8月記錄。后門的功能菜單相當(dāng)齊全：命令執(zhí)行、進程創(chuàng)建、網(wǎng)絡(luò)掃描、LDAP和Active Directory搜索、基于憑據(jù)的橫向移動，以及瀏覽器憑據(jù)竊取——最后一項能力涉及從受害者的瀏覽器中提取存儲的密碼和會話數(shù)據(jù)。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
