中国黑客集团为三家亚洲游戏公司提供后门产品

中国黑客集团为三家亚洲游戏公司提供后门产品

ESET怀疑已经有数十或数十万用户被感染。

一个臭名昭着的中国网络间谍组织称为Winnti集团，已经破坏了亚洲两家游戏制造商和游戏平台的网络，在其产品中加入了一个后门木马。

安全

'100个独特的漏洞和计数'用于最新的WinRAR安全漏洞

网络安全：不要让小东西给你带来大问题

为什么安全性是企业云采用的首要障碍[混合云电视]

红队帮助保护开源软件

斯洛伐克网络安全公司ESET今天早些时候发布的一份报告显示，其中两个被入侵的产品不再包括中国黑客的后门。

然而，第三个名为Infestation的游戏- 由泰国开发商Electronics Extreme制作- 尽管ESET自2月以来通过各种渠道努力通知游戏开发者，但它仍在推迟更新并可在其后门版本中下载。

虽然ESET不希望命名其他两个受影响的产品，但ESET报告的IOC(指标妥协)部分中包含的受感染文件哈希指出Garena游戏平台是第二个受影响的产品。

第三个受影响产品(游戏)的名称仍然未知。

“我们与其中一位受影响的开发商合作，我们尊重他们保持匿名的愿望并在最终处理这种情况，”Léveillé在一封电子邮件中告诉ZDNet。“公平地说，我们决定简单地避免提及已经解决问题的出版商的名字。”

至于后门本身，Léveillé表示，Winnti Group以类似的方式修改了这三种产品的可执行文件。

IBM Cloud for VMware解决方案：将VMware环境引入公共云

IBM Cloud for VMware解决方案产品组合为企业带来了公共云的优势，同时将中断，风险和变更降至最低。

本IDC白皮书讨论了IBM Cloud for VMware Solutions，这是IBM Cloud中托管的VMware环境产品组合。本文档重点介绍了该产品组合的优势，并说明了它如何提供安全，灵活的公共云路径以及更广泛的数字化转型。

IBM提供的白皮书

恶意代码包含在游戏的主要可执行文件中，并在运行时解密并在PC的内存中启动执行，而原始游戏/游戏平台按预期运行。

“这可能表明犯罪分子改变了构建配置而不是源代码本身，”Léveillé说。

研究人员还告诉ZDNet，Winnti Group似乎已经使用正常的游戏更新作为向用户推送后门版本的一种手段，这也是为什么感染没有被立即发现并包含在内，从而导致大量用户受到影响的原因。

“好的一面是，C&C [命令和控制]服务器后来脱机，这限制了攻击，”Léveillé告诉ZDNet。

这意味着，随着后门仍然在Electronics Extreme的Infestation游戏中处于活跃状态，新用户将在今天受到感染，但后门将无法联系其C&C服务器以在受感染的主机上下载其他恶意软件。

ESET研究员Marc-EtienneM.Léveillé今天表示，“鉴于被开发者仍在分发受到攻击的应用程序的普及，如果受害者数量达到数十或数十万，就不足为奇了。”

根据ESET的遥测数据，大多数受害者来自亚洲国家，这一点并不令人意外，因为该地区的游戏很受欢迎。

图片：ESET

一个特别奇怪的是，后门不会在本地语言设置为中文或俄罗斯的计算机上运行(一些计算机在俄罗斯被感染，因为他们使用的是非俄语设置)。

后门的作用是下载第二阶段木马，ESET称这是一个庞大的DLL文件。研究人员无法分析和查看第二个恶意软件应变程序的作用，因为控制此第二阶段有效负载的C&C服务器不会返回其他文件来触发恶意软件的执行。

由于原始后门仅支持四个命令并且其C&C服务器已关闭，因此用户暂时不会受到第二个恶意软件攻击。

但是，由于Infestation游戏开发者未能清理他们的服务器，因此Winnti Group可以使用新的后门部署新的恶意游戏更新，该后门与不同的C&C服务器通信并重新激活所有以前受感染的用户。

建议游戏玩家尽快重新安装他们的系统。

ESET不确定为什么Winnti Group会针对游戏玩家以及此次广告系列的最终结果，但该组织过去曾使用受感染的游戏来分发网络间谍恶意软件。例如，它在2011年之前就已经这样做了。

Winnti Group是一个网络间谍服装，众所周知，它可以执行此类类型的黑客行为 - 被称为供应链攻击。ProtectWise 401TRG2018报告列出了过去的几起事件，以及他们去年在准备未来供应链攻击时从被黑客入侵的软件公司收集代码签名证书的倾向。