宝运莱官方网站XDR助力精准“猎狐”：一键措置 瞬间破案！
颁布功夫 2024-04-192024年4月上旬 ，宝运莱官方网站接获企业客户反馈 ，其XDR治理中心发现内网办公主机习染“银狐”木马 ，并存在远程节造行为。通过XDR正确勾画的攻击事务全貌 ，我们迅速分析出攻击者的一系列复杂操作 ，并有效阻止了攻击的进一步发展。
何为“银狐”？
银狐系列木马是一类针对企事业单元治理人员、财政人员、销售人员等进行垂钓攻击的木马。
银狐的传布方式重要分为下载和垂钓两种：攻击者经� ；岵砂斐勖阉饕娴木杭叟琶� ，让绑缚了银狐木马的假冒办公软件排名靠前。当受害者下载并执行这些假冒办公软件时即被植入木马后门 ；
另表 ，他们还会将木马包装成指标对象关注的文件名 ，通过即时通讯工具、垂钓邮件等大局进行传布。
在检测躲避上 ，银狐木马常通过多种伎俩达到免杀成效：如白加黑、侧加载、安全软件躲避、多阶段加载等。
在与C2进行通讯时 ，通常设置有通鸭码 ，选取zlib、XOR、AES、RC4等多种算法混合加密其通讯内容 ，以保障数据不被安全设备检测。
“猎狐”行动始末
2024年4月上旬 ，宝运莱官方网站收到某企业客户反馈其天阗XDR治理中心（以下简称XDR）发显熹内网办公主机习染“银狐“木马 ，并且存在远程节造行为 ，必要协助研判分析。
在故事线中 ，本次木马攻击的齐全攻击功夫线呈此刻用户面前 ，并且客户已经使用系统的一键措置职能实现了病毒木马算帐。
基于XDR对整个攻击事务的描述 ，我们齐全还原了整个攻击过程：
4月11日 14:53
某财政人员在一个微信群中收到名为“幼规模纳税人增值税政策第三批划定.zip”的压缩包。
4月11日 14:57
用户解压压缩包并运行了里面的文件。压缩包内文件现实为木马下载器 ，执行后将从远程服务器8.134.201.170:80下载并执行shellcode。
4月11日 14:58
shellcode下载结束后 ，受害主机起头表联C2服务器进行通讯。通过XDR的自动研判取证 ，我们能够看到齐全的看到从“银狐”上线数据包中解密出来的上线信息 ，从而急剧定位失陷主机。
4月11日 15:02
在受害主机衔接上C2服务器4分钟后 ，攻击者便起头对受害主机进行远程节造。此时 ，XDR系统响起了最严沉的“远程节造”告警。
经过XDR对攻击事务正确的勾画 ，攻击者一连串复杂的操作清澈地展示面前。安全人员依附XDR对于攻击事务的具体展示实现了瞬间“破案” ，并实时阻止了攻击的进一步发展。
“猎狐”行动总结
从银狐木马事务能够看出 ，攻击者各类攻击伎俩不休升级。而当前安全运营的困境 ，在于网、端告警相互孤立 ，没有关联分析 ，形成数据孤岛。
另一方面随着部署的安全设备越来越多 ，产生海量告警 ，底子看不完。当安全事务产生 ，依赖于人员水平进行事务还原 ，耗时费劲且难以实现。以上各种造成告警看不完、告警不会分析、真正的告警被漏掉。
XDR产品若何解决安全运营的困境？
XDR选取自动告警降噪技术 ，无需人为过问 ，即可实时对告警降噪 ，可能做到100000：1的告警降噪 ，千万级告警降噪到日均百条以下。
同时 ，不依赖于使用人员经验 ，基于告警降噪、关联分析之上 ，实现安全运营高阶智能驾驶 ，可自动还原攻击故事线 ，实现齐全蹊径出现、全攻击阶段覆盖、齐全攻击汗青复盘、网端关联分析。
XDR让安全运营人员人人皆可“猎狐”。
京公网安备11010802024551号