Havoc 恶意软件可以轻易地隐藏在显眼的地方
网络攻击者不断寻找新方法来逃避检测并利用毫无戒心的用户。Havoc 就是其中一种引起轰动的威胁，它是一种开源命令与控制 (C2) 框架，已被用于复杂的网络钓鱼活动。与传统恶意软件不同，Havoc 采用先进的技术来隐藏其存在并以合法服务的幌子开展恶意活动。
Table of Contents
什么是 Havoc 恶意软件？
Havoc 是一个后漏洞利用框架，专为网络安全专业人员测试网络防御而设计。然而，与许多合法的安全工具一样，它已被威胁行为者用于恶意目的。在这种情况下，攻击者修改了 Havoc 的“Demon”代理以逃避检测并促进秘密行动。
该恶意软件通过利用一种称为ClickFix的方法的网络钓鱼活动进行传播。攻击从一封电子邮件开始，该电子邮件包含一个名为“Documents.html”的 HTML 附件。打开后，此文件会显示一条错误消息，指示用户复制并运行 PowerShell 命令。这个看似简单的步骤启动了感染过程，使攻击者能够控制受害者的系统。
Havoc 如何运作？
一旦执行恶意 PowerShell 脚本，它就会访问攻击者控制的 SharePoint 服务器，以下载并运行其他脚本。攻击分为几个阶段：
- 环境检测：脚本首先检查它是否在沙盒或虚拟化环境中运行，这是逃避网络安全分析工具的常用技术。
- Python 部署：如果未检测到沙箱，则会继续下载 Python 解释器（如果系统上尚未安装）。
- Shellcode 执行：下载的 Python 脚本然后加载一段负责启动 Havoc Demon 代理的 shellcode。
- 命令和控制通信：该恶意软件使用广受信任的服务Microsoft Graph API与其操作员建立通信。这种方法允许攻击者将其恶意流量伪装成合法流量，从而使检测变得更加困难。
Havoc 恶意软件的目的是什么？
一旦安装在受感染的系统上，Havoc 就会为攻击者提供一套工具来执行命令、操纵用户权限、窃取敏感数据，甚至进行 Kerberos 攻击。其功能包括：
- 收集系统和用户信息
- 执行文件操作，例如上传和下载数据
- 执行任意命令和有效载荷
- 操纵用户令牌来提升权限
- 进行网络侦察和凭证盗窃
Havoc 恶意软件的影响
使用 Havoc 进行网络攻击对个人和组织都构成了严重的安全隐患。与其他依赖知名黑客基础设施的恶意软件不同，Havoc 利用 SharePoint 和 Microsoft Graph API 等广受信赖的服务来逃避检测。这种方法允许攻击者将其活动与合法网络流量混合，使传统安全工具更难识别和阻止恶意操作。
依赖 Microsoft 服务进行协作和数据存储的组织尤其容易受到攻击，因为网络钓鱼活动会向用户发送虚假的 Microsoft OneDrive 错误消息。毫无戒心的员工如果按照欺诈性电子邮件中的说明操作，可能会无意中引发全面的系统入侵。
如何防范 Havoc 恶意软件
鉴于 Havoc 所采用的复杂技术，每个人都必须采取主动的网络安全措施。降低风险的一些关键措施包括：
- 用户意识和培训：教育员工和用户了解网络钓鱼策略，包括 ClickFix 和其他社会工程方法。鼓励对带有附件或运行命令说明的未经请求的电子邮件保持怀疑态度。
- 电子邮件安全措施：实施先进的电子邮件过滤解决方案，在恶意附件到达用户之前捕获并阻止它们。
- 端点保护：部署端点检测和响应 (EDR) 解决方案，可以识别和阻止与 Havoc 和类似恶意软件相关的异常行为。
- 限制 PowerShell 的使用：通过强制执行策略并仅允许运行签名的脚本来限制 PowerShell 脚本的使用。
- 网络监控：监控网络流量中的异常活动，特别是与外部 SharePoint 服务器的连接或异常的 Microsoft Graph API 交互。
- 定期更新和修补：确保所有软件和系统都是最新的，以减少攻击者可以利用的漏洞。
最后的想法
Havoc 恶意软件代表了一种日益增长的趋势，即开源安全工具被重新用于恶意活动。通过利用 Microsoft Graph API 和 SharePoint 等受信任的服务，攻击者可以有效地掩盖其操作，使检测变得越来越困难。随着网络威胁变得越来越复杂，用户必须保持警惕并采取强大的安全措施来防范不断演变的攻击。
了解 Havoc 的运作方式并采取主动措施降低其风险可以帮助个人和企业抵御这种新出现的网络安全威胁。
