Worok 威胁组利用 PNG 图像隐藏恶意软件

关键要点

• Worok 威胁组使用 PNG 图像隐藏信息窃取恶意软件。
• 该组可能利用 DLL 侧载技术进行 CLRLoader 恶意软件加载。
• 使用了隐写技术将恶意软件嵌入 PNG 图像中。
• PNGLoader 内含 PowerShell 脚本和自定义的 C# 信息窃取工具 DropBoxControl。

Worok 威胁组已被 Avast 研究人员确认利用 PNG 图像作为隐藏信息窃取恶意软件的一种手段。这一发现印证了 ESET之前的研究，怀疑该组使用类似的攻击方式。根据 Avast 的报告，尽管对 Worok 所采取的网络入侵手法仍存疑虑，但该组织被认为使用了 DLL侧载技术来促成 CLRLoader 恶意软件加载器在内存中的执行。

报告显示，第二阶段的 DLL PNGLoader 是通过 CLRLoader 加载的，以便提取嵌入在 PNG图像中的字节，进而创建两个可执行文件。Worok 使用了最不显著位编码隐写技术将恶意软件隐藏在 PNG 图像中，PNGLoader被发现包含了一个作为初始有效载荷的 PowerShell 脚本以及一个自定义的 .NET C# 信息窃取工具 DropBoxControl。

DropBoxControl 具有多种功能，包括执行“cmd /c”命令、下载执行、以及对 DropBox数据的上传和下载。它还支持数据删除、重命名和外泄，同时创建后门目录。

对于网络安全防护者和企业而言，提高对这种新型攻击方式的警惕性至关重要。相关联的链接也可以帮助进一步了解和防范此类攻击： 、 。