通杀Win Mac Linux三大系统，恶意软件伪装成系统更新，隐藏半年才被发现

拼搏现实的明天。 2023-10-01 16:52 60阅读 0赞

能同时攻击Windows、Mac、Linux三大操作系统的恶意软件出现了。

虽然“全平台通杀”病毒并不常见，但是安全公司Intezer的研究人员发现，有家教育公司在上个月中了招。

更可怕的是，他们通过分析域名和病毒库发现，这个恶意软件已经存在半年之久，只是直到最近才被检测到。

他们把这个恶意软件命名为SysJoker。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16]  
SysJoker核心部分是后缀名为“.ts”的TypeScript文件，一旦感染就能被远程控制，方便黑客进一步后续攻击，比如植入勒索病毒。

SysJoker用C++编写，每个变体都是为目标操作系统量身定制，之前在57个不同反病毒检测引擎上都未被检测到。![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_18_color_FFFFFF_t_70_g_se_x_16]  
那么SysJoker到底是如何通杀三大系统的？

SysJoker的感染步骤  
SysJoker在三种操作系统中的行为类似，下面将以Windows为例展示SysJoker的行为。

首先，SysJoker会伪装成系统更新。

一旦用户将其误认为更新文件开始运行，它就会随机睡眠90到120秒，然后在C:\\ProgramData\\SystemData\\目录下复制自己，并改名为igfxCUIService.exe，伪装成英特尔图形通用用户界面服务。

接下来，它使用Live off the Land（LOtL）命令收集有关机器的信息，包括MAC地址、用户名、物理媒体序列号和IP地址等。

SysJoker使用不同的临时文本文件来记录命令的结果。这些文本文件会立即删除，存储在JSON对象中，然后编码并写入名为microsoft\_windows.dll的文件。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_20_color_FFFFFF_t_70_g_se_x_16]  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16 1]  
Google Drive链接指向一个名为“domain.txt”的文本文件，这是以编码形式保存的远程控制文件。

在Windows系统上，一旦感染完成，SysJoker就可以远程运行包括“exe”、“cmd”、“remove\_reg”在内的可执行文件。  
![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16 2]  
而且研究人员在分析期间发现，以上服务器地址更改了三次，表明攻击者处于活动状态，并监控了受感染的机器。

如何查杀SysJoker  
尽管SysJoker现在被杀毒软件检测出的概率很低，但发现它的Intezer公司还是提供了一些检测方法。

用户可以使用内存扫描工具检测内存中的SysJoker有效负载，或者使用检测内容在EDR或SIEM中搜索。具体操作方法可以参见Intezer网站。  
![在这里插入图片描述][000b3993e5ca42b89acc839fc43c39e2.png]  
已经感染的用户也不要害怕，Intezer也提供了手动杀死SysJoker的方法。

用户可以杀死与SysJoker相关的进程，删除相关的注册表键值和与SysJoker相关的所有文件。

Linux和Mac的感染路径不同，用户可以在Intezer查询到这些参数，分析自己的电脑是否被感染。

[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/99feb2bf5af444b8a52dc7dd31ce07f5.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAdGVhX3llYXI=,size_19,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_18_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/1da9fd8a37f344819eccc82eb3150ed5.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAdGVhX3llYXI=,size_18,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/b3109c41f2d84ffcbe690deb7c0d9535.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAdGVhX3llYXI=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/baf689c2d1f74b328adf29e8309b5bc1.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAdGVhX3llYXI=,size_19,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBAdGVhX3llYXI_size_19_color_FFFFFF_t_70_g_se_x_16 2]: https://img-blog.csdnimg.cn/3d8c795807584a8cb521ce959e1f365d.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBAdGVhX3llYXI=,size_19,color_FFFFFF,t_70,g_se,x_16
[000b3993e5ca42b89acc839fc43c39e2.png]: https://img-blog.csdnimg.cn/000b3993e5ca42b89acc839fc43c39e2.png