高效、快速且不可恢复：Wiper 恶意软件无处不在

放大盖蒂图片社
在过去的一年里，出现了来自多达九个家族的破坏性恶意软件浪潮。上周，研究人员至少列出了两个，都具有旨在造成最大破坏的高级代码库。

周一，Check Point Research 的研究人员发布了 Azov 的详细信息，这是一种前所未见的恶意软件，该公司将其描述为“高效、快速且不幸的是无法恢复的数据擦除器”。通过用随机数据覆盖文件，以 666 字节为单位擦除文件，完整保留一个相同大小的块，依此类推。恶意软件使用未初始化的局部变量 char buffer[666]。
脚本小子不需要申请
在永久销毁受感染机器上的数据后，Azov 会显示一条以勒索软件公告风格书写的注释。该备忘录呼应了克里姆林宫关于俄罗斯对乌克兰战争的谈话要点，包括核打击威胁。 Check Point 恢复的两个样本之一的评级错误地将这些词归因于一位来自波兰的知名恶意软件分析师。

放大
尽管一家公司最初是由年轻的开发者创立的，但 Azov 绝非简单化。它在其原始定义中是一种计算机病毒，这意味着它会修改文件 - 在这种情况下，将多态代码添加到 64 位后门可执行文件中 - 从而攻击受感染的系统。它也完全用汇编语言编写，这是一种使用起来极其繁琐的低级语言，但也使恶意软件在后门进程中更加高效。除了多态代码外，Azov 还使用其他技术使研究人员的检测和分析变得更加困难。

“虽然 Azov 样本在第一次遇到时被认为是 skidware（可能是由于形状奇怪的勒索字条），但当深入研究非常先进的技术时，我们发现了。手动组装，将有效负载注入可执行文件以劫持它们，以及Check Point 研究员 Jiri Vinopal 写道：“许多反分析技巧通常为安全手册或大牌网络犯罪工具保留。Azov 勒索软件肯定会给典型的逆向工程师带来比普通恶意软件更多的麻烦。”

代码中嵌入的逻辑炸弹会在预定时间引爆 Azove。一旦触发，逻辑炸弹将遍历所有文件目录并对所有文件目录运行擦除例程，硬编码系统路径和特定文件扩展名除外。上个月，超过 17,000 个被盗的可执行文件被提交给 VirusTotal，表明该恶意软件已经广泛传播。

上周三，安全公司 ESET 的研究人员推出了另一种他们称为 Fantasy 的前所未见的擦除器，以及一种名为 Sandals 的横向移动和执行工具。该恶意软件是通过供应链攻击发布的，该攻击滥用了一家为钻石行业开发软件的以色列公司的基础设施。在 150 分钟的时间里，Fantasy and Sandals 传播给了从事人力资源、IT 支持服务和批发钻石的软件制造商的客户。目标位于南非、以色列和香港。

Fantasy 从 Apostle 中借用了大量代码，Apostle 是一种恶意软件，最初伪装成勒索软件，然后才显示自己是擦除器。 Apostle 与在中东活动的伊朗威胁演员 Agrius 有联系。代码重用导致 ESET 将 Fantasy 和 Sandals 分配到同一组。
挡风玻璃刮水器的简史 A的文档...

技术 Dec 13, 2022 0 17 Add to Reading List

在过去的一年里，出现了来自多达九个家族的破坏性恶意软件浪潮。上周，研究人员至少列出了两个，都具有旨在造成最大破坏的高级代码库。

周一，Check Point Research 的研究人员发布了 Azov 的详细信息，这是一种前所未见的恶意软件，该公司将其描述为“高效、快速且不幸的是无法恢复的数据擦除器”。通过用随机数据覆盖文件，以 666 字节为单位擦除文件，完整保留一个相同大小的块，依此类推。恶意软件使用未初始化的局部变量 char buffer[666]。

脚本小子不需要申请

在永久销毁受感染机器上的数据后，Azov 会显示一条以勒索软件公告风格书写的注释。该备忘录呼应了克里姆林宫关于俄罗斯对乌克兰战争的谈话要点，包括核打击威胁。 Check Point 恢复的两个样本之一的评级错误地将这些词归因于一位来自波兰的知名恶意软件分析师。

尽管一家公司最初是由年轻的开发者创立的，但 Azov 绝非简单化。它在其原始定义中是一种计算机病毒，这意味着它会修改文件 - 在这种情况下，将多态代码添加到 64 位后门可执行文件中 - 从而攻击受感染的系统。它也完全用汇编语言编写，这是一种使用起来极其繁琐的低级语言，但也使恶意软件在后门进程中更加高效。除了多态代码外，Azov 还使用其他技术使研究人员的检测和分析变得更加困难。

“虽然 Azov 样本在第一次遇到时被认为是 skidware（可能是由于形状奇怪的勒索字条），但当深入研究非常先进的技术时，我们发现了。手动组装，将有效负载注入可执行文件以劫持它们，以及Check Point 研究员 Jiri Vinopal 写道：“许多反分析技巧通常为安全手册或大牌网络犯罪工具保留。Azov 勒索软件肯定会给典型的逆向工程师带来比普通恶意软件更多的麻烦。”

代码中嵌入的逻辑炸弹会在预定时间引爆 Azove。一旦触发，逻辑炸弹将遍历所有文件目录并对所有文件目录运行擦除例程，硬编码系统路径和特定文件扩展名除外。上个月，超过 17,000 个被盗的可执行文件被提交给 VirusTotal，表明该恶意软件已经广泛传播。

上周三，安全公司 ESET 的研究人员推出了另一种他们称为 Fantasy 的前所未见的擦除器，以及一种名为 Sandals 的横向移动和执行工具。该恶意软件是通过供应链攻击发布的，该攻击滥用了一家为钻石行业开发软件的以色列公司的基础设施。在 150 分钟的时间里，Fantasy and Sandals 传播给了从事人力资源、IT 支持服务和批发钻石的软件制造商的客户。目标位于南非、以色列和香港。

Fantasy 从 Apostle 中借用了大量代码，Apostle 是一种恶意软件，最初伪装成勒索软件，然后才显示自己是擦除器。 Apostle 与在中东活动的伊朗威胁演员 Agrius 有联系。代码重用导致 ESET 将 Fantasy 和 Sandals 分配到同一组。

挡风玻璃刮水器的简史 A的文档...