PowerShell恶意代码传播事件分析：新威胁利用策略

在2016年3月，安天安全研究与应急处理中心(AntiyCERT)发布了一份报告，关注多起利用PowerShell进行恶意代码传播的事件。PowerShell作为一种强大的工具，其便利性使得它被恶意攻击者用于绕过部分反病毒软件的检测。报告中提到，攻击者利用PowerShell的特性，不仅通过命令行下载并执行恶意代码，还能实现无实体文件的攻击方式，这在之前的一份针对中方机构的准APT攻击案例中有所体现。 报告首先概述了近期发现的PowerShell攻击增多的趋势，研究人员预测这种威胁将会持续增长。其中，攻击者通过社工邮件传播恶意代码家族Dridex，这一变化点在于不再直接使用宏脚本下载，而是利用宏调用PowerShell来间接执行，从而进一步提高了躲避反病毒软件的能力。攻击者将宏藏于看似正常的rtf文档附件中，当用户打开文档时，宏会触发PowerShell下载并运行预设的恶意URL中的文件，如图1所示的社工邮件策略。 报告详细地分析了两个主要的攻击手段： 1. **利用宏病毒执行PowerShell传播**：攻击者利用宏设计，当文档被打开时，宏中的PowerShell命令会被激活，下载并执行Dridex等恶意代码。这种方法有效地利用了用户的信任，使攻击更加难以察觉。 2. **利用安装包捆绑PowerShell传播**：除了通过宏，攻击者还可能通过捆绑恶意代码的安装包传播PowerShell，这种方法常用于隐藏恶意代码的真实意图，增加检测难度。 为了对抗这类攻击，报告提供了安全防御建议，包括但不限于增强用户对未知来源邮件的警惕性、定期更新和扫描防病毒软件、强化权限管理以防止恶意脚本执行，以及对PowerShell脚本的监控和审计。 报告最后列出了一些涉及的样本哈希列表，供安全专业人员参考，并包含两个附录，一个是参考资料，另一个是关于安天实验室的简介，强调了版权信息和无损转载的许可。这份报告为了解此类恶意活动的行为模式和防护策略提供了有价值的信息。