最近，安全研究人員發(fā)現了一個新版本的Windows惡意軟件，該惡意軟件可打開Windows PC上的RDP端口，以便進行遠程訪問。

創(chuàng)新互聯(lián)公司作為成都網站建設公司，專注成都網站建設、網站設計，有關企業(yè)網站設計方案、改版、費用等問題，行業(yè)涉及成都鑿毛機等多個領域，已為上千家企業(yè)服務，得到了客戶的尊重與認可。

SentinelOne的安全研究員Jason Reaves透露，這種新版本的惡意軟件被稱為``Sarwent''，自2018年以來一直在使用。

目前，這種新版本的Sarwent惡意軟件已經引起了眾多安全專家的關注。

安全研究員Vitali Kremez在今年(2020年)年初發(fā)送了一條twitter，他在推文中提到了有關這個Sarwent惡意軟件的一些信息。

安全專家說，到目前為止還不能確定Sarwent是如何分發(fā)的，可能是通過其他惡意軟件傳播的。此外，Sarwent的早期版本是為了在受損的PC上安裝額外的惡意軟件而開發(fā)的。

Sarwent惡意軟件的運營商很有可能在黑客的網站和論壇上出售“對這些受損系統(tǒng)的訪問權”，因為這是最常見的將具有RDP功能的主機盈利化的方法之一。

Sarwent功能

黑客仍在不斷的開發(fā)和使用Sarwent惡意軟件，它具有新的命令，并且側重于遠程桌面協(xié)議(RDP)。Sarwent的新版本以其通過Windows命令提示符和PowerShell實用程序執(zhí)行自定義CLI命令的能力而著稱。

安全專家稱，這項新功能本身具有很強的入侵性，但除了此功能外，Sarwent還通過該更新獲得了另一個新功能，即具有在每個受感染主機上注冊新Windows用戶帳戶的功能。

一旦Sarwent成功入侵系統(tǒng)，惡意軟件就會創(chuàng)建一個新的Windows用戶帳戶，修改防火墻，然后打開RDP端口。

簡而言之，攻擊者將能夠使用他們在受感染系統(tǒng)上創(chuàng)建的新Windows用戶訪問主機，而不會被Windows防火墻阻止。

SentinelOne的安全研究員Jason Reaves表示，攻擊者這樣做是為了將來在受感染的系統(tǒng)上獲得遠程訪問權，但這要看攻擊者本身，不排除攻擊者將RDP訪問權轉售給其他不法分子的可能性。

在有限的原始命令中可發(fā)現，這個惡意軟件的功能在歷史上是作為一個加載程序循環(huán)的，這里是部分的原始命令：

 
 
 

  
  
  
|download| 
  
  
  
|update| 
  
  
  
|vnc| 
 
 
 

但是，最近，攻擊者修改了Sarwent惡意軟件，添加了一些命令，這些命令主要集中在后門或RAT之類的功能上，以下是新添加的命令：

 
 
 

  
  
  
|cmd| 
  
  
  
|powershell| 
  
  
  
|rdp| 
 
 
 

Sarwent惡意軟件背后的攻擊發(fā)起者可能僅為自己使用RDP訪問權限，以竊取專有數據或安裝勒索軟件。但就如之前所講，不排除將RDP訪問權限租借給其他黑客的可能性。

IOC

除了對惡意軟件的描述外，SentinelOne的安全專家Jason Reaves還介紹了危害指標(IOCs)，更多詳情請參見原文。

新聞標題：如果你是黑客，會利用Windows后門來做些什么？
文章鏈接：http://uogjgqi.cn/article/djpeoss.html