据美国科技媒体报道BleepingComputer报道称，一项新的在线钓鱼活动正试图使用一种名为BazarBackdoor新型后门木马获得目标企业网络的完全访问权。基于代码的相似性，臭名昭著TrickBot银行木马的开发人员被认为是幕后黑手。
网络钓鱼电子邮件钓鱼邮件可能是客户投诉、新型冠状病毒和裁员表等各种主题。
图1.冒充客户投诉钓鱼邮件示例(恶意链接指向托管Google Docs上面的诱饵文档)
攻击者在发送钓鱼邮件时使用Sendgrid(电子邮件服务平台可以帮助发件人跟踪他们的电子邮件统计数据。）
图2.通过钓鱼邮件Sendgrid发送
诱饵文档可能是Word文档、Excel电子表格或PDF与钓鱼邮件主题相对应的文件。
无论诱饵文档采用何种格式，都有一个共同的特点——无法正常在线预览。也就是说，如果你想查看它的内容，你只能下载它。
图3.新型冠状病毒主题诱饵文档
图4.客户投诉主题诱饵文档
尽管下载的文件使用Word、Excel或PDF但实际上它们都是可执行文件。例如，新型冠状病毒主题诱饵文档对应的文件被称为PreviewReport.DOC.exe客户投诉主题诱饵文档对应的文件名为Preview.PDF.exe”。
但是，由于Windows默认情况下不显示文件扩展名，所以收件人看到的文件名只会是PreviewReport.DOC”和“Preview.PDF误以为是Word和PDF文档。
分析表明，可执行文件是BazarBackdoor加载程序。一旦启动，后门将隐藏在收件人的电脑上。
图5.BazarBackdoor加载程序
无文件后门在收件人启动下载的文件后，加载程序将首先休眠一段时间，然后连接到命令和控制（C2)服务器下载后门的有效载荷。
在BleepingComputer第一个测试C请求总是返回404 HTTP错误代码。
图6.C2通信
但是，第二个C2请求将下载XOR加密的有效载荷，即BazarBackdoor后门木马。
图7.XOR有效加密载荷
最后，以无文件的形式注入有效载荷C:\\Windows\\system32\\svchost.exe”进程。BleepingComputer表示，这是通过Process Hollowing和 Process Doppelg?nging完成技术。
图8.注入后门svchost.exe
由于Windows大量的任务在任务管理中始终运行svchost.exe因此，大多数用户不太可能注意到什么时候会有这样的过程，然后就不会注意到后门的存在。
此外，用户登录还配置了加载程序Windows启动时，允许下载并注入后门的新版本svchost.exe进程。
图9.添加计划任务
一段时间后，后门程序将在受害者的计算机上下载并执行渗透测试神器Cobalt Strike，为攻击者提供完全访问受害者计算机的权限。
BazarBackdoor或出自TrickBot开发人员之手类似的钓鱼邮件格式、传播方式和代码都表明BazarBackdoor很有可能是原因TrickBot开发银行木马背后的同一组织。
此外，BazarBackdoor以前也用过TrickBot在活动中创建相同的加密器、电子邮件链接和证书。
结语BleepingComputer表示，正在通过BazarBackdoor攻击者在获得受害者计算机的完全访问权后，可以执行任何攻击，如窃取数据、部署勒索软件或将访问权出售给其他黑客。
鉴于钓鱼邮件的数量，BleepingComputer认为BazarBackdoor对企业网络构成严重威胁，建议企业警惕员工sendgrid.net电子邮件，文件下载链接的电子邮件。
