Vultur，一種Android銀行木馬，已觀察到整合了新的技術特點，使得惡意軟體操作者能夠遠端與受害者的行動裝置通訊。此外，Vultur開始通過加密其C2通信、使用多個動態解密的載荷以及在合法程序的假象下執行其惡意活動，以掩蓋其惡意行為。Vultur具有按鍵記錄和與受害者裝置的屏幕互動等功能，主要針對銀行應用程序進行遠端控制和按鍵記錄。

Vultur於 2021 年 3 月下旬首次被發現，它透過 AlphaVNC 的 VNC（虛擬網路運算）獲得了受害者設備的全面可見性。2021 年 7 月，ThreatFabric 研究人員發現了 Android 版本的 Vultur，它使用螢幕錄製和鍵盤記錄來捕獲登入憑證。過去，Vultur利用ngrok和AlphaVNC兩款聲譽良好的軟體應用程式來遠端存取運行在受害者設備上的VNC伺服器。根據Fox-IT 的一份報告顯示，威脅行為者利用簡訊入侵和電話引誘目標下載帶有 Brunhilda 惡意軟體植入程式的 McAfee 安全應用程式的武器化版本。然後，安裝應用程式將執行與 Vultur 相關的有效負載，從而啟用輔助功能服務和命令與控制伺服器連線。

在最近的一次活動中，Brunhilda下載器通過短信和電話呼叫進行混合攻擊的傳播， 第一條短訊指引受害者進行電話呼叫。當受害者撥打號碼時，詐騙者會向受害者發送一條第二條短訊，其中包含下載器的鏈接：McAfee Security應用程式的修改版本。

Vultur的新技術特點

• 下載、上傳、刪除、安裝、尋找檔案；
• 使用 Android 輔助功能服務控制受感染的裝置（發送命令以執行捲動手勢、滑動手勢、點擊、靜音/取消靜音音訊等）；
• 阻止應用程式運行；
• 在狀態列中顯示自訂通知；
• 停用鍵盤防護以繞過鎖定螢幕安全措施。

Vultur 透過以下方式增強了逃避偵測和反分析的方法：

• 修改合法應用程式（使用 McAfee Security 和 Android Accessibility Suite 軟體包名稱）；
• 使用本機程式碼來解密有效負載；
• 在多個有效負載上傳播惡意程式碼；
• 使用 AES 加密和 Base64 編碼進行 C2 通訊。

值得一提的是，該惡意軟體可能會使用 Android 的輔助服務來遠端連接受感染的裝置。操作Vultur的攻擊者可以傳輸命令，執行諸如滑動、點擊和捲動等操作。研究人員表示，檔案總管功能包括下載、上傳、刪除、安裝和尋找檔案的功能，這實際上使攻擊者能夠更好地控制受感染的設備。

阻止受害者與裝置的應用程式互動是另一個有趣的新功能。此功能允許惡意軟​​體操作者指定一個應用程式列表，一旦偵測到在裝置上運行，就應重新啟動這些應用程式攻擊鏈。

攻擊鏈

威脅行為者使用由兩條簡訊和一個電話組成的混合攻擊，誘騙無辜者安裝惡意軟體。

最初，受害者會收到一條短訊，告訴他們撥打一個號碼，以防他們不批准大筆交易。儘管這筆交易從未發生，但它給受害者留下了必須立即執行的印象，從而使其上當行騙。在通話過程中，系統會向受害者發送第二條短訊，指示他們點擊連結以安裝木馬版本的 McAfee Security 應用程式。

該程序本質上是Brunhilda下載器，對受害者來說看似無害，因為它具有McAfee Security應用程式中的功能。

此植入程式解密並執行三個與 Vultur 相關的有效負載，使威脅行為者能夠完全控制受害者的行動裝置。在最近提交的Vultur樣本的專家注意到，新功能不斷的增加，這表明該惡意軟體仍在積極開發中，根據這些觀察結果，預計在不久的將來 Vultur 會添加更多功能。

Vultur的部分入侵指標(Indicator of compromise -IOCs):

在3月第一周的活動，該惡意軟體在不到72 小時內針對6,000多個華碩路由器進行了攻擊

根據黑蓮花實驗室(Black Lotus Labs)發布的報告，已經發現一個名為「TheMoon」的新變體惡意軟體僵屍網絡正在全球 88 個國家感染數千台過時的小型辦公室和家庭辦公室（SOHO）路由器和物聯網（IoT）設備。TheMoon 與「Faceless」代理服務相關聯，該服務使用一些受感染的設備作為代理，將流量路由給希望匿名化其惡意活動的網路犯罪分子。

黑蓮實驗室的研究人員正在監控最新的 TheMoon 活動，該活動始於 2024 年 3 月初，他們觀察到在不到 72 小時內有 6,000 台華碩路由器成為攻擊目標。威脅分析人員報告稱，惡意軟體操作，如 IcedID 和 SolarMarker 目前使用代理僵屍網路來混淆其線上活動。

針對華碩路由器

針對華碩路由器 TheMoon 首次於 2014 年被發現，當時研究人員警告稱，該惡意軟體正在利用漏洞感染 LinkSys 設備。該惡意軟體的最新活動已在一周內感染了將近 7,000 台設備，黑蓮實驗室表示，他們主要針對華碩路由器。

「通過 Lumen 的全球網路可見性，黑蓮實驗室已識別出 Faceless 代理服務的邏輯地圖，其中一個始於 2024 年 3 月的活動在不到 72 小時內針對了超過 6,000 台華碩路由器。」黑蓮實驗室的研究人員警告道。然而研究人員並未具體說明入侵華碩路由器所使用的確切方法，但鑒於所針對的設備型號已達到生命周期終點，攻擊者可能利用韌體中已知的漏洞。攻擊者還可能通過暴力破解管理員密碼或測試的預設和弱憑證。

一旦惡意軟體獲得設備存取權限，它會檢查特定 shell 環境的存在（「/bin/bash」、「/bin/ash」或「/bin/sh」）；否則，它將停止執行。

如果偵測到相容的 shell，載入程式會解密、刪除並執行名為「.nttpd」的有效負載，該負載會建立一個具有版本號（目前為 26）的 PI​​D 檔案。

接下來，惡意軟體設定 iptables 規則以丟棄連端口 8080 和 80 上傳入 TCP的流量，同時允許來自特定 IP 範圍的流量。這種策略可以保護受感染的設備免受外部干擾。

接下來，惡意軟體會嘗試聯絡合法 NTP 伺服器列表，以偵測沙箱環境並驗證網路連線。

最後，惡意軟體透過循環存取一組硬編碼的 IP 位址來與命令和控制 (C2) 伺服器連接，C2 會以指令進行回應。

在某些情況下，C2 可能會指示惡意軟體擷取其他元件，例如掃描連port 80 和 8080 上易受攻擊的 Web 伺服器的蠕蟲模組或代理受感染裝置上流量的「.sox」檔案。該檔案用於代理受感染設備上的流量。

Faceless 代理服務

Faceless 是網路犯罪代理服務，可透過受感染的裝置為僅使用加密貨幣付款的客戶路由網路流量。本服務不使用「了解您的客戶」驗證流程，任何人都可以使用。

為了保護他們的基礎設施不被研究人員繪製地圖，Faceless 操作員確保每台受感染的設備在感染持續期間僅與一台伺服器通訊。

Black Lotus Labs 報告稱，三分之一的感染會持續 50 天以上，而 15% 的感染會在 48 小時內消失。這表明後者受到更好的監控，並且可以快速檢測到危害。

儘管 TheMoon 和 Faceless 之間存在明顯的聯繫，但這兩個操作似乎是獨立的網路犯罪生態系統，因為並非所有惡意軟體感染都成為 Faceless 代理殭屍網路的一部分。

為了防禦這些殭屍網路，請使用強管管理員密碼並將裝置的韌體升級到解決已知缺陷的最新版本。如果設備已達到 EoL，請將其替換為有效支援的型號。路由器和物聯網上惡意軟體感染的常見跡象包括連線問題、過熱和可疑的設定變更。

有關於TheMoon 惡意軟體的的部分入侵指標(Indicator of compromise -IOCs):

abee3860601d8a8f10fa2d0ef9e058c8c9b0b977a87e8c95fb66d3f630281c23  
d4fa6a239895a94f83740db0319601a14896a2b06fff912364f214b0832ee230  
84b45dad03eeb5be10b8313b25de1426b108064b12e2848eaa94cddd58bca297
701531793ecd583e05cdbd853bec8c0ece4c106fc9a6658af2d1b2f6becb70ad  
7724caac245c1e5af1662fc3a1261e02fe097a7a98c129986e6dad41606d0df1
f9ac395dbab71d37b0a22cbacba2613540b51a4be501632320e523531716a057  
9e10aadba51daa66b72ea442a97b31b12b4f718866328109d21d1c03b0e76780  
ab3d693470e7cf8ff2a21338c0a20302465ca7e18c33fc8fe488b0abb8f201f0

欲了解更多，請參考: https://blog.lumen.com/the-darkside-of-themoon/