欧洲用户受到“黑暗之门（Darkgate）”恶意软件威胁

终端安全平台Ensilo近日发现欧洲的Windows用户成为一个复杂恶意软件活动的猎物目标，该活动为攻击者提供了各种各样的功能（加密，凭证窃取，勒索软件和远程访问接管）。

恶意软件被其开发者命名为DarkGate，它通过伪装成流行娱乐产品（如西班牙篮球界的Campeones、《行尸走肉》电视剧）的Torrent文件进行传播。但这些文件被下载后实际在下载设备上执行恶意VBscripts。被感染后，第一个恶意软件与C2服务器的交互将启动挖掘过程，从那时起，DarkGate有可能进行进一步攻击。

根据研究人员的跟踪观察，该活动的目标用户范围主要集中在西班牙和法国，研究员Adi Zeligson于2017年12月27日发现了该威胁，他认为DarkGate似乎与密码窃取器Golroted密切相关。

DarkGate的密码窃取组件使用NirSoft工具窃取用户凭据，浏览器cookie，浏览器历史记录和Skype聊天记录。不过研究人员Zeligson和Rotem Kerner发现，攻击者似乎显然更青睐加密货币凭证。

除了它的多功能性之外，DarkGate“亮点”是它实现了进程挖空的行为——将合法进程加载到系统上，将其用作隐藏恶意代码的“掩护”。为了实现这一目的，DarkGate还滥用了进程vbc.exe或regasm.exe。此外，DarkGate还利用UAC（用户帐户控制）绕过功能来提升其权限。

DarkGate的另一个显著特点是其人性化的“反应式”C2基础设施由真人构成。研究人员指出，这些运营者“根据收到加密钱包的新感染通知采取行动”。同时，当运营者检测到任何有趣的活动时……然后他们继续在[被感染的]机器上安装自定义远程访问工具以进行手动操作。

为了隐藏这些特殊的C2基础设施，DarkGate对其恶意服务器(包括Akamai CDN或AWS)进行了伪装。他们还通过监控通常在沙箱或虚拟机环境中发现的情况，以及检查是否存在特定的AV解决方案，来避免被检测发现。

Ensilo平台对媒体表示，他们认为攻击者的目标是可以从中获得最大化金钱利益的个人或者组织，因此他们更愿意选择有价值的目标，如拥有重要计算资源的组织。