Amsi-Bypass

Kaspersky GReAT เปิดโปง NetamLoader มัลแวร์ที่เล็ง Windows 10 รุ่นพิเศษของหน่วยงานรัฐในเอเชีย มัลแวร์ซ่อนในไฟล์ CAB ในโฟลเดอร์อัปเดตของ Windows ยืมไฟล์ Patch My PC และโมดูลที่ Microsoft เซ็นเพื่อรันโค้ดผ่าน AppDomainManager injection และ BinaryFormatter แล้วปิด AMSI ลบล็อก และรันตัวสุดท้ายใน dllhost.exe ตัวสุดท้ายรอ 20-40 นาทีก่อนติดต่อ openaigpt4v[.]com เพื่อหลบ sandbox พบเหยื่อรายเดียวและยังไม่โยงกับกลุ่มใด ผู้ดูแลควรเฝ้าไฟล์ .config แปลกในโฟลเดอร์อัปเดตและส่งล็อกขึ้นศูนย์กลาง

บริษัท Huntress เปิดเผยแคมเปญ malspam ใหม่ที่ใช้โดเมน Google DoubleClick บังการตรวจจับ เพื่อส่งมัลแวร์ DesckVB RAT ก่อนเหยื่อจะถึงโครงสร้างของผู้โจมตี ลิงก์จะวิ่งผ่าน DoubleClick ที่เป็นโดเมนของ Google ซึ่งเครื่องมือความปลอดภัยมักไม่สงสัย จากนั้นเข้าสู่ malspam kit ที่ปรับหน้าเพจอัตโนมัติตามอีเมลเหยื่อ ดึงโลโก้บริษัทและที่ตั้งมาทำให้น่าเชื่อถือ โดยไม่ต้องสร้างเหยื่อล่อทีละราย ปลายทางคือ DesckVB RAT มัลแวร์ .NET ที่ใช้ process hollowing inject เข้า process ที่ Microsoft เซ็น พร้อมปิด AMSI/ETW