HackerNews网站披露,AhnLab安全应急响应中心发现,部分网络攻击者利用Sunflower安全漏洞部署SliverC2框架,以进行后续“入侵攻击”活动。安全研究人员指出,网络攻击者不仅使用了Sliver后门,他们还部署了BYOVD(自带易受攻击的驱动程序)恶意软件来破坏安全产品并安装反向shell。在整个攻击链中,攻击者首先利用Sunflowerv11.0.0.33及更早版本中存在的两个远程代码执行漏洞CNVD-2022-03672和CNVD-2022-10270获取权限,然后传输Sliver或其他类似的Gh0stRAT和XMRig的恶意加密货币矿工。攻击者将Sunflower中的安全漏洞“武器化”在一个案例中,研究人员发现攻击者涉嫌“武器化”Sunflower漏洞。首先利用向日葵软件漏洞安装PowerShell脚本,然后利用BYOVD技术禁用系统中安装的安全软件,最后利用Powercat投放反向shell。注意:BYOVD技术滥用合法但易受攻击的Windows驱动程序mhyprot2.sys,该驱动程序使用有效证书签名,能够获得提升的权限并终止系统防病毒进程。值得注意的是,此前趋势科技曾透露,原神(原神)游戏的反作弊驱动也被用于部署勒索软件。日志显示,攻击者通过SunflowerRCE漏洞在受害者系统上安装了Sliver后门。这一发现证实了威胁行为者正准备采用Sliver,这是一种合法的基于Go的渗透测试工具,作为CobaltStrike和Metasploit的替代品。最后,研究人员指出,Sliver提供了类似于CobaltStrike的功能,例如账户信息窃取、内网穿越、企业内网穿越等。
