BazarLoader是一种通过电子邮件传播的Windows恶意软件，利用恶意Excel表格诱导受害者执行宏，进而下载并安装BazarLoader。该恶意软件会下载BazarBackdoor，并通过Cobalt Strike进行网络侦查和横向移动，可能部署Conti、Ryuk等勒索软件。文中详细介绍了BazarLoader的传播途径、恶意Excel工作原理、C2通信和Cobalt Strike活动，以及关键IOC信息。
BazarLoader是基于Windows的恶意软件，主要通过电子邮件等方式传播。犯罪分子通过恶意软件后门访问受感染的主机，并对目标域网络环境进行探测，部署Cobalt Strike，绘制网络拓扑图。如果为高价值目标，犯罪分子就会开始横向拓展，部署Conti、Ryuk等勒索软件。
BazarLoader传播方式
2021年夏天，研究人员发现攻击者通过电子邮件传播BazarLoader恶意软件。目前发现三个攻击活动中使用了该恶意软件：
“BazarCall”中使用含有BazarLoader的电子邮件作为初始攻击手段，诱导受害者点击含有恶意软件的文件；
七月初，以侵权为主题的“Sleet Images Evidence.ZIP”中包含了BazarLoader；
7月底，TA551（Shathak）开始通过英语电子邮件传播BazarLoader。
除了这三个主要攻击活动外，研究人员还发现了含有BazarLoader的Excel电子表格，其传播感染方式如下：
恶意Excel表格
恶意Excel电子表格在8月18日被首次发现的，其最后一次修改日期为8月17日。文件后缀为‘.xlsb’，此文件中包含BazarLoader。下图为恶意Excel截图：
最低0.47元/天 解锁文章
扫一扫
1134
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
