黑客利用 Cisco AnyConnect 和 Google 更新诱饵投放 SharkLoader 恶意软件

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年6月25日 19:18
北京

在小说阅读器读本章

去阅读

一种新发现的恶意软件家族正通过隐藏在看起来完全合法的虚假软件安装程序中，入侵世界各地的系统。

研究人员发现了一种攻击活动，攻击者将恶意工具伪装成 Cisco AnyConnect 和 Google Update 等受信任的程序，诱骗用户在不知情的情况下运行它们。

文件执行后，一个名为 SharkLoader 的自定义加载器会在后台静默安装自身。

这场运动影响范围很广。目前已确认的受害者遍布印度尼西亚、台湾、香港、黎巴嫩、叙利亚、哥伦比亚、北马其顿、尼泊尔和塞尔维亚。

攻击目标包括政府机构、外交机构和软件开发公司，这表明攻击者既有战略目标，也有机会主义目标。

Securelist 的分析师发现了该恶意软件，并发布了一份详细报告，与网络安全新闻 (CSN) 分享，将更广泛的攻击活动称为“StrikeShark”。

研究人员表示，SharkLoader 旨在将一种名为 Cobalt Strike Beacon 的知名黑客工具加载并执行到受感染的机器上，从而使攻击者能够获得深度远程访问和控制权。

此次攻击活动中的攻击者利用广泛使用的企业软件中的一系列漏洞入侵目标网络。

这些漏洞包括微软 Exchange、微软 SharePoint、Fortinet FortiOS 和思科 IOS XE 等软件中的已知漏洞。研究人员以中等置信度评估认为，该组织依赖于公开的漏洞利用代码，因此其活动很大程度上属于机会主义性质。

归因仍处于初步阶段，研究人员指出，在攻击活动中观察到的几种后渗透工具，包括 FScan、Searchall 和 Pillager，都是由讲中文的人开发的。

然而，目前尚未确定与任何已知的黑客组织有任何关联，调查人员仍在继续调查此次攻击活动的全部范围。

黑客利用思科 AnyConnect 和谷歌更新诱饵

此次营销活动中最引人注目的传播方式之一是使用与真品外观完全相同的虚假软件安装程序。

在一个分析的样本中，投放器中包含一个压缩在里面的正版 Cisco AnyConnect VPN安装程序。

当受害者运行该文件时，真正的安装程序正常启动并完成，造成了一种令人信服的错觉，即没有发生任何可疑的事情。

在此期间，SharkLoader 组件会在后台静默写入隐藏目录。该投放器还使用了名为 GoogleUpdateStepup.exe 和 AutoUpdate.exe 的文件，伪装成常规更新程序。

一些样本还会向受害者的电脑投放诱饵 PDF 文档，以此分散受害者的注意力，同时恶意软件悄悄地安装自身。

恶意软件释放其组件后，创建了两个 Windows 计划任务以维持其持久性。

第一个任务每五分钟运行一次，确保加载器持续保持活动状态。第二个任务在部署后立即每秒运行一次，然后在大约 1.5 秒后移除，可能是为了保证 SharkLoader 立即启动。

SharkLoader的多阶段执行和规避方法

SharkLoader采用多组件结构来逃避检测。它依赖于DLL侧加载，即将名为SystemSettings.exe的合法Windows应用程序复制到新位置，并用于加载名为SystemSettings.dll的恶意文件。

从那里开始，加载器完全在内存中解密并执行其他加密模块，而不会将最终有效载荷写入磁盘。

其中一个模块 DscCoreR.mui 使用 Blowfish 密码解密，其中包含 Cobalt Strike Beacon shellcode。

另一个模块 SyncRes.dat 使用 AES-128 加密，并安装了大量旨在绕过安全监控的 Windows API 钩子。这些钩子会将系统调用重定向到自定义存根，从而使恶意软件更难被检测。

该活动还会劫持 Windows 事件日志记录函数，例如 EtwEventWrite 和 EventWrite，强制它们返回空值，并使任何依赖系统日志的监控工具失效。

研究人员还观察到父进程 ID 欺骗，使得恶意子进程看起来像是由合法的 svchost.exe 进程启动的。

攻击者取得立足点后，运行侦察命令，从 LSASS 进程中转储凭据，并使用 ntdsutil 提取 Active Directory 密码哈希值。

这些步骤使得攻击者能够穿越网络并提升权限。强烈建议各组织机构修补面向互联网的应用程序，监控计划任务的创建，并部署能够检测内存威胁的终端安全工具。