安全研究人員近期注意到一個(gè)利用 Windows 事件日志來存儲(chǔ)惡意軟件的活動(dòng)，這項(xiàng)技術(shù)此前并沒有被記錄用于黑客攻擊。這種方法使攻擊者能夠在文件系統(tǒng)中植入無文件的惡意軟件，這種攻擊充滿了技術(shù)和模塊，旨在盡可能保持活動(dòng)的隱蔽性。

卡巴斯基的研究人員在配備該公司產(chǎn)品的客戶電腦上，通過基于行為的檢測(cè)和異常控制技術(shù)確認(rèn)了這項(xiàng)威脅，并收集了該惡意軟件的樣本。調(diào)查顯示，該惡意軟件是一個(gè)“非常有針對(duì)性”的活動(dòng)的一部分，并依賴于大量的工具，包括定制的和商業(yè)上可用的。

卡巴斯基首席安全研究員 Denis Legezo 說，這種方法是在惡意活動(dòng)中首次在實(shí)際攻擊中使用。該投放器將合法的操作系統(tǒng)錯(cuò)誤處理文件 WerFault.exe 復(fù)制到'C:\Windows\Tasks'，然后將加密的二進(jìn)制資源投放到同一位置的'wer.dll'(Windows錯(cuò)誤報(bào)告)，進(jìn)行DLL搜索順序劫持以加載惡意代碼。

DLL 劫持是一種黑客技術(shù)，利用檢查不充分的合法程序，從任意路徑向內(nèi)存加載惡意的動(dòng)態(tài)鏈接庫(kù)(DLL)。Legezo說，投放器的目的是在磁盤上加載器，用于側(cè)面加載過程，并在事件日志中尋找特定的記錄(類別0x4142 - ASCII中的'AB'。如果沒有找到這樣的記錄，它就寫下8KB的加密shellcode塊，這些塊后來被組合成下一個(gè)stager的代碼。

卡巴斯基首席安全研究員 Denis Legezo 表示：“被丟棄的wer.dll是一個(gè)加載器，如果沒有隱藏在Windows事件日志中的shellcode，它不會(huì)造成任何傷害”。