针对越南上市公司的新SPECTRALVIPER后门

越南上市公司已成为一项正在进行的活动的一部分，该活动部署了一种名为SPECTRALVIPER的新型后门。

“SPECTRALVIPER 是一个严重混淆的、以前未公开的 x64 后门，它带来了 PE 加载和注入、文件上传和下载、文件和目录操作以及令牌模拟功能，”Elastic 安全实验室在周五的一份报告中表示。

这些攻击归因于它跟踪的名为REF2754的行为者，该行为者与名为APT32，Canvas Cyclone（前身为Bismuth），Cobalt Kitty和OceanLotus的越南威胁组织重叠。

Meta 于 2020 年 <> 月将黑客团队的活动与一家名为 CyberOne Group 的网络安全公司联系起来。

在 Elastic 发现的最新感染流中，利用 SysInternals ProcDump 实用程序加载包含 DONUTLOADER 的未签名 DLL 文件，该文件又配置为加载 SPECTRALVIPER 和其他恶意软件，如 P8LOADER 或 POWERSEAL。

SPECTRALVIPER旨在联系参与者控制的服务器并等待进一步的命令，同时还采用混淆方法，如控制流扁平化来抵抗分析。

P8LOADER是用C++编写的，能够从文件或内存中启动任意有效载荷。还使用了一个名为POWERSEAL的专用PowerShell运行器，该运行器可以运行提供的PowerShell脚本或命令。

据说REF2754与另一个名为REF4322的组织具有战术共性，众所周知，该组织主要针对越南实体部署称为PHOREAL（又名Rizzo）的后开发植入物。

这些联系提出了“REF4322和REF2754活动组都代表由越南国家附属威胁计划和执行的活动”的可能性。

调查结果显示，名为REF2924的入侵集已与另一种名为SOMNIRECORD的恶意软件相关联，该恶意软件使用DNS查询与远程服务器通信并绕过网络安全控制。

与NAPLISTENER一样，SOMNIRECORD利用现有的开源项目来磨练其功能，使其能够检索有关受感染机器的信息，列出所有正在运行的进程，部署Web shell并启动系统中已存在的任何可执行文件。

“The use of open source projects by the attacker indicates that they are taking steps to customize existing tools for their specific needs and may be attempting to counter attribution attempts,” the company said.