可突破物理隔離的惡意軟件框架——Ramsay
責編：gltian ｜2020-05-15 10:39:39網絡安全公司ESET的研究人員今天宣布，他們發現了一個前所未有的惡意軟件框架，該框架具有當今很少見的高級功能。
ESET將這個惡意軟件框架名為Ramsay，表示該惡意軟件工具包被設計用來感染物理隔離的計算機，可以將Word和其他敏感文檔藏入一個隱蔽的存儲容器中，等待合適的泄露機會。
Ramsay是一個重大發現，因為安全界很少看到能夠攻擊物理隔離設備的惡意軟件，通常來說，物理隔離是公司可以采取的最嚴格和有效的敏感數據安全保護措施。
什么是物理隔離網絡
物理隔離系統是與公司網絡的其余部分隔離并與公共互聯網斷開的計算機或網絡。
物理隔離的計算機/網絡經常出現在政府機構和大型企業的網絡中，它們通常存儲著絕密文件或知識產權。
滲透物理隔離網絡通常被視為安全漏洞的圣杯，因為破壞或滲透物理隔離系統的難度極大。
RAMSAY可能會“破防”
ESET在今天發布的一份報告中指出，Ramsay幾乎就是專門為破防物理隔離網絡而開發的。
根據ESET收集的信息，使用Ramsay工具箱的攻擊可以通過以下模式進行：
- 受害者將收到帶有RTF文件附件的電子郵件。
- 如果受害者下載并運行文檔，則該文件將嘗試利用CVE-2017-1188或CVE-2017-0199漏洞讓用戶感染Ramsay惡意軟件。
- Ramsay的“收集器”模塊將啟動。該模塊搜索受害者的整個計算機，并將Word、PDF和ZIP文檔收集到一個隱藏的文件夾中。
- Ramsay的“傳播器”模塊也將啟動。此模塊將Ramsay惡意軟件的副本添加到在可移動驅動器和網絡共享上找到的所有PE（便攜式可執行文件）文件中。
- 惡意軟件會一直等到攻擊者部署另一個可以竊取所收集數據的模塊。
ESET表示，在研究期間，尚未發現Ramsay的數據提取模塊。
盡管如此，ESET表示該惡意軟件已被廣泛使用。
ESET研究人員Ignacio Sanmillan說：
我們最初在VirusTotal中找到了Ramsay的一個實例?！薄霸摌颖臼菑娜毡旧蟼鞯?，這使我們發現了該框架的其他組件和版本。
已經發現了三個Ramsay版本
ESET表示，他們已經跟蹤了三種不同版本的Ramsay惡意軟件框架，其中一個版本于2019年9月編譯（Ramsay v1），另外兩個版本編譯于2020年3月上旬至下旬（Ramsay v2.a和v2.b）。
Sanmillan說，ESET發現“大量證據可以得出結論，該框架處于開發階段”，并且黑客仍在修改代碼。
例如，電子郵件的傳遞方法多種多樣，在最近的Ramsay版本中，該惡意軟件還在Word文檔之外收集了PDF和ZIP文件。
研究人員尚未正式歸因于誰可能是Ramsay的幕后推手。但是，Sanmillan表示，該惡意軟件包含與Retro一起的大量共享工件，而Retro是由朝鮮黑客組織DarkHotel開發的一種惡意軟件。
Ramsay-Retro代碼的相似之處 圖片來源：ESET