网络钓鱼将IceXLoader恶意软件投放到数以千计的家庭企

　　正在进行的网络钓鱼活动已经感染了新版本的IceXLoader恶意软件，从而感染了数千名家庭和企业用户。
　　IceXLoader是今年夏天首次在野外发现的恶意软件加载程序，其作者发布了3。3。3版本，增强了该工具的功能并引入了多阶段交付链。
　　Fortinet于2022年6月发现了基于Nim的恶意软件，当时IceXLoader的版本为3。0，但加载程序缺少关键功能，并且通常看起来像是在进行中。
　　感染始于通过包含第一阶段提取器的网络钓鱼电子邮件到达ZIP文件。
　　提取器在C：UsersAppDataLocalTemp下创建一个新的隐藏文件夹（。tmp），并删除下一阶段的可执行文件STOREM2。exe。
　　然后，根据操作员选择的提取设置，可能会重新启动受感染的系统，并在计算机重新启动时添加一个新的注册表项以删除临时文件夹。
　　删除的可执行文件是一个下载器，它从硬编码的URL中获取PNG文件，并将其转换为经过混淆的DLL文件，即IceXLoader有效负载。
　　解密有效载荷后，投放器会执行检查以确保它没有在模拟器中运行，并在执行恶意软件加载程序以逃避沙箱之前等待35秒。
　　最后，IceXLoader使用进程空心注入到STREM2。exe进程中。
　　完整的IceXLoader感染链（MinervaLabs）
　　首次启动时，IceXLoader3。3。3版将自身复制到以操作员昵称命名的两个目录中，然后收集有关主机的以下信息并将其上传到C2服务器：IP地址UUID用户名和机器名视窗操作系统版本安装的安全产品。NETFrameworkv2。0和或v4。0的存在硬件信息时间戳
　　为了确保重新启动之间的持久性，恶意软件加载程序还在HKEYCURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun处创建一个新的注册表项。
　　它使用AMSI。DLL中的内存修补方法，绕过WindowsDefender和其他安全产品使用的MicrosoftWindows反恶意软件扫描接口。
　　loader支持的命令如下：停止执行收集系统信息并潜入C2显示带有指定消息的对话框重启IceXLoader发送GET请求以下载文件并使用cmdC打开它发送GET请求以下载可执行文件以从内存中运行它加载并执行。NET程序集更改C2服务器信标间隔更新IceXLoader从磁盘中删除所有副本并停止运行
　　Minerva报告说，该活动背后的攻击者对保护被盗数据不感兴趣，因为保存被盗信息的SQLite数据库可以在C2地址中访问。
　　暴露的数据库包含与数千名受害者相对应的记录，其中包含家庭PC和公司PC感染的混合。