俄駭客利用Windows內建Hyper-V躲避資安偵測，私建輕量Linux VM偽裝WSL混淆系統監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了躲過EDR與防毒軟體的偵測，駭客大多採取癱瘓這類端點防護機制運作的策略，其中最普遍的做法，是濫用存在已知弱點的驅動程式，藉由自帶驅動程式（BYOVD）來達到目的，但現在有人開始運用Linux惡意程式來對付Windows電腦。</p> <p>資安業者Bitdefender與喬治亞電腦緊急應變中心（CERT-GE）聯手，調查俄羅斯駭客組織<a href="https://www.ithome.com.tw/news/170631">Curly COMrades</a>最新一波<a href="https://businessinsights.bitdefender.com/curly-comrades-evasion-persistence-hidden-hyper-v-virtual-machines">攻擊行動</a>，這些駭客在執行Windows 10作業系統的電腦上，濫用虛擬化平臺Hyper-V，以此建立隱密的長期存取管道，具體作法是部署以輕量化著稱的Alpine Linux虛擬機器（VM），用於部署惡意程式，其中包含了名為CurlyShell的反向Shell，以及反向代理伺服器CurlCat。</p> <p>由於Alpine Linux所需資源甚少，以上述的虛擬機器而言，僅占用120 MB磁碟空間，且只需256 GB記憶體（RAM）就能運作，因此受害者難以察覺異狀。攻擊者採用虛擬機器隔離惡意程式，成功繞過許多EDR系統的偵測，對此，Bitdefender認為，EDR必須實作以主機為基礎的網路檢測機制，才有機會發現從虛擬機器逃逸的C2流量，並透過強化機制來因應原生系統元件被濫用的情況。</p> <p>附帶一提的是，為了持續透過反向代理伺服器進行存取，駭客多次引入新的工具，包括：Resocks、Rsockstun、Ligolo-ng、CCProxy、Stunnel，以及以SSH為基礎的手段。</p> <p>Bitdefender在7月初看到相關活動，當時駭客下達遠端命令，透過部署映像服務與管理工具（DISM）在兩臺Windows電腦啟用Hyper-V的功能，但同時也停用其管理介面。</p> <p>數天後Curly COMrades試圖部署虛擬機器，並將其名稱設置為WSL，企圖讓使用者誤以為是Windows Subsystem for Linux（WSL）功能的設置。此虛擬機器採用預設的網路卡，並透過Hyper-V內部的NAT服務，使得相關流量看起來都來自主機。</p> <p>這些遭非法建置的虛擬機器，內部並未設置大型的多功能框架或滲透測試工具，僅部署CurlyShell與CurlCat兩款惡意程式，它們皆以程式庫libcurl打造而成，其中CurlyShell為反向Shell，功能是透過HTTPS連線與C2基礎設施通訊；CurlCat用於管理流量隧道，攻擊者藉此遠端存取受害電腦與執行命令。</p> <p>透過Linux惡意程式攻擊Windows電腦，藉此迴避EDR偵測的情況，已有前例。趨勢科技近日揭露<a href="https://www.ithome.com.tw/news/171904">勒索軟體Qilin最新一波攻擊行動</a>，駭客透過遠端管理工具Splashtop執行Linux版勒索軟體，以此加密Windows電腦的檔案。</p> </div></div></div>
