8827太阳集团XDR助力精准“猎狐”：一键措置 瞬间破案！
颁布功夫 2024-04-192024年4月上旬，，，， ，，8827太阳集团接获企业客户反�。。。。。。。�，， ，，其XDR治理中心发现内网办公主机习染“银狐”木马，，，， ，，并存在远程节造行为。。。。。。。通过XDR正确勾画的攻击事务全貌，，，， ，，我们迅速分析出攻击者的一系列复杂操作，，，， ，，并有效阻止了攻击的进一步发展。。。。。。。
何为“银狐” ？？？？？
银狐系列木马是一类针对企事业单元治理人员、财政人员、销售人员等进行垂钓攻击的木马。。。。。。。
银狐的传布方式重要分为下载和垂钓两种：攻击者时时�；；；；；岵砂斐勖阉饕娴木杭叟琶�，， ，，让绑缚了银狐木马的假冒办公软件排名靠前。。。。。。。当受害者下载并执行这些假冒办公软件时即被植入木马后门；；；；；；
另表，，，， ，，他们还会将木马包装成指标对象关注的文件名，，，， ，，通过即时通讯工具、垂钓邮件等大局进行传布。。。。。。。
在检测躲避上，，，， ，，银狐木马常通过多种伎俩达到免杀成效：如白加黑、侧加载、安全软件躲避、多阶段加载等。。。。。。。
在与C2进行通讯时，，，， ，，通常设置有通鸭码，，，， ，，选取zlib、XOR、AES、RC4等多种算法混合加密其通讯内容，，，， ，，以保障数据不被安全设备检测。。。。。。。
“猎狐”行动始末
2024年4月上旬，，，， ，，8827太阳集团收到某企业客户反馈其天阗XDR治理中心（以下简称XDR）发显熹内网办公主机习染“银狐“木马，，，， ，，并且存在远程节造行为，，，， ，，必要协助研判分析。。。。。。。
在故事线中，，，， ，，本次木马攻击的齐全攻击功夫线呈此刻用户面前，，，， ，，并且客户已经使用系统的一键措置职能实现了病毒木马算帐。。。。。。。
基于XDR对整个攻击事务的描述，，，， ，，我们齐全还原了整个攻击过程：
4月11日 14:53
某财政人员在一个微信群中收到名为“幼规模纳税人增值税政策第三批划定.zip”的压缩包。。。。。。。
4月11日 14:57
用户解压压缩包并运行了里面的文件。。。。。。。压缩包内文件现实为木马下载器，，，， ，，执行后将从远程服务器8.134.201.170:80下载并执行shellcode。。。。。。。
4月11日 14:58
shellcode下载结束后，，，， ，，受害主机起头表联C2服务器进行通讯。。。。。。。通过XDR的自动研判取证，，，， ，，我们能够看到齐全的看到从“银狐”上线数据包中解密出来的上线信息，，，， ，，从而急剧定位失陷主机。。。。。。。
4月11日 15:02
在受害主机衔接上C2服务器4分钟后，，，， ，，攻击者便起头对受害主机进行远程节造。。。。。。。此时，，，， ，，XDR系统响起了最严沉的“远程节造”告警。。。。。。。
经过XDR对攻击事务正确的勾画，，，， ，，攻击者一连串复杂的操作清澈地展示面前。。。。。。。安全人员依附XDR对于攻击事务的具体展示实现了瞬间“破案”，，，， ，，并实时阻止了攻击的进一步发展。。。。。。。
“猎狐”行动总结
从银狐木马事务能够看出，，，， ，，攻击者各类攻击伎俩不休升级。。。。。。。而当前安全运营的困境，，，， ，，在于网、端告警相互孤立，，，， ，，没有关联分析，，，， ，，形成数据孤岛。。。。。。。
另一方面随着部署的安全设备越来越多，，，， ，，产生海量告警，，，， ，，底子看不完。。。。。。。当安全事务产生，，，， ，，依赖于人员水平进行事务还原，，，， ，，耗时费劲且难以实现。。。。。。。以上各种造成告警看不完、告警不会分析、真正的告警被漏掉。。。。。。。
XDR产品若何解决安全运营的困境 ？？？？？
XDR选取自动告警降噪技术，，，， ，，无需人为过问，，，， ，，即可实时对告警降噪，，，， ，，可能做到100000：1的告警降噪，，，， ，，千万级告警降噪到日均百条以下。。。。。。。
同时，，，， ，，不依赖于使用人员经验，，，， ，，基于告警降噪、关联分析之上，，，， ，，实现安全运营高阶智能驾驶，，，， ，，可自动还原攻击故事线，，，， ，，实现齐全蹊径出现、全攻击阶段覆盖、齐全攻击汗青复盘、网端关联分析。。。。。。。
XDR让安全运营人员人人皆可“猎狐”。。。。。。。
京公网安备11010802024551号