最近，安全研究人員發(fā)現(xiàn)了一個新版本的Windows惡意軟件，該惡意軟件可打開Windows PC上的RDP端口，以便進(jìn)行遠(yuǎn)程訪問。

SentinelOne的安全研究員Jason Reaves透露，這種新版本的惡意軟件被稱為``Sarwent''，自2018年以來一直在使用。

目前，這種新版本的Sarwent惡意軟件已經(jīng)引起了眾多安全專家的關(guān)注。

安全研究員Vitali Kremez在今年(2020年)年初發(fā)送了一條twitter，他在推文中提到了有關(guān)這個Sarwent惡意軟件的一些信息。

安全專家說，到目前為止還不能確定Sarwent是如何分發(fā)的，可能是通過其他惡意軟件傳播的。此外，Sarwent的早期版本是為了在受損的PC上安裝額外的惡意軟件而開發(fā)的。

Sarwent惡意軟件的運(yùn)營商很有可能在黑客的網(wǎng)站和論壇上出售“對這些受損系統(tǒng)的訪問權(quán)”，因?yàn)檫@是最常見的將具有RDP功能的主機(jī)盈利化的方法之一。

Sarwent功能

黑客仍在不斷的開發(fā)和使用Sarwent惡意軟件，它具有新的命令，并且側(cè)重于遠(yuǎn)程桌面協(xié)議(RDP)。Sarwent的新版本以其通過Windows命令提示符和PowerShell實(shí)用程序執(zhí)行自定義CLI命令的能力而著稱。

安全專家稱，這項(xiàng)新功能本身具有很強(qiáng)的入侵性，但除了此功能外，Sarwent還通過該更新獲得了另一個新功能，即具有在每個受感染主機(jī)上注冊新Windows用戶帳戶的功能。

一旦Sarwent成功入侵系統(tǒng)，惡意軟件就會創(chuàng)建一個新的Windows用戶帳戶，修改防火墻，然后打開RDP端口。

簡而言之，攻擊者將能夠使用他們在受感染系統(tǒng)上創(chuàng)建的新Windows用戶訪問主機(jī)，而不會被Windows防火墻阻止。

SentinelOne的安全研究員Jason Reaves表示，攻擊者這樣做是為了將來在受感染的系統(tǒng)上獲得遠(yuǎn)程訪問權(quán)，但這要看攻擊者本身，不排除攻擊者將RDP訪問權(quán)轉(zhuǎn)售給其他不法分子的可能性。

在有限的原始命令中可發(fā)現(xiàn)，這個惡意軟件的功能在歷史上是作為一個加載程序循環(huán)的，這里是部分的原始命令：

|download| 
|update| 
|vnc| 

但是，最近，攻擊者修改了Sarwent惡意軟件，添加了一些命令，這些命令主要集中在后門或RAT之類的功能上，以下是新添加的命令：

|cmd| 
|powershell| 
|rdp| 

Sarwent惡意軟件背后的攻擊發(fā)起者可能僅為自己使用RDP訪問權(quán)限，以竊取專有數(shù)據(jù)或安裝勒索軟件。但就如之前所講，不排除將RDP訪問權(quán)限租借給其他黑客的可能性。

IOC

除了對惡意軟件的描述外，SentinelOne的安全專家Jason Reaves還介紹了危害指標(biāo)(IOCs)，更多詳情請參見原文。