恶意程序借助 AutoIt 脚本来逃避杀软的检测

来自 IBM X-Force 研究团队的报告显示，在此次巴西银行攻击事件中，黑客使用了 AutoIt 脚本工具来安装远控木马（RAT），该木马能够劫持基于浏览器的银行业务会话。

AutoIt 是一个免费的管理工具，它通过脚本来自动化的实现系统管理。研究人员表示，使用 AutoIt 脚本能降低被防毒工具检测到的可能性。通过使用 AutoIt 脚本来编译恶意代码并将其作为正常的基于 AutoIt 框架的进程往往能够绕过杀软的检测。

X-Force 的研究人员 Gadi Ostrovsky 和 Limor Kessem 补充道：“使用 AutoIt 脚本可以防止杀软的静态查杀，例如检测恶意程序的 hash 值。” 他们在上周三共同撰写了该分析报告。

“一旦完成木马的安装，它就会开始监视浏览器窗口的标题栏名称，如果检测到的名称是银行，则会通过全屏的图像或其它网页阻止来自银行的真实网页。接下来，攻击者会控制受害用户的机器和可能已经认证过的银行会话。” 研究人员介绍说，“攻击者将远程启动受控端进行欺诈交易，并借助屏幕 Overlay 技术来提示用户提供更多的详细信息。”

同时，X-Force 的研究人员还表示，巴西已经成了金融恶意软件的 “温床”，近期使用 Overlay 技术的恶意软件不断增多也突出了该地区出现更复杂恶意代码的趋势。

“在过去的一年里，我们观察到了金融恶意软件的兴起，如 Client Maximus 以及其它类似的程序，它们使用远程访问和 Overlay 技术进行金融欺诈。最近，我们发现一种新的远控木马（RAT），它使用了几乎相同的技术，但其免杀手法则是又一个转折点。” X-Force 团队表示。

该 RAT 程序的代码由 Delphi 编写，Delphi 是针对巴西的黑客攻击中常见的编程语言。“在相关攻击中可以看到很多关于这些 Delphi 代码模块的复用，并且恶意软件也没有像通常那样被定义为具体的木马家族（如 Zeus，Ursnif，Dridex 等）。” Kessem 在接受 Threatpost 采访时表示。

过去，AutoIt 也多次被攻击者用于躲避反病毒软件的查杀。Cisco Talos 团队曾在 15 年指出，黑客们已经把该工具与钓鱼攻击结合了起来，旨在通过模仿正常系统管理员的活动来隐匿目标系统上安装的 RAT 程序。

事实上早在 13 年，研究人员就注意到使用 AutoIt 脚本的恶意软件数目在增长，同时还出现了将 AutoIt 开发的键盘记录器和 RAT 程序上传到文本共享网站（如 Pastebin）的案例。

X-Force 的研究人员表示，在巴西基于 Overlay 技术的恶意软件仍然是金融攻击的首选，只要这种类型的攻击还有效，那么恶意者也就没必要做其它的变化。

原文链接：https://threatpost.com/autoit-scripting-used-by-overlay-malware-to-bypass-av-detection/128845/

本文由看雪翻译小组 BDomne 编译

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)