据观察，被认为是伊朗 APT35 国家支持组织（又名“迷人小猫”或“磷”）的一部分的黑客利用 Log4Shell 攻击来释放新的 PowerShell 后门。
模块化有效载荷可以处理 C2 通信、执行系统枚举，并最终接收、解密和加载其他模块。
Log4Shell 是对 CVE-2021-44228 的利用，这是 12 月披露的 Apache Log4j 中的一个关键远程代码执行漏洞。
根据 Check Point 的研究人员的说法，APT35 在目标有机会应用安全更新之前率先利用该漏洞，在其公开披露后的几天内扫描易受攻击的系统。
一直在跟踪这些尝试的 Check Point 将利用活动归因于 APT35，因为威胁行为者的攻击是使用该组织已知使用的先前暴露的基础设施仓促设置的。
然而，作为他们研究的一部分，分析师们还发现了一个名为“CharmPower”的 PowerShell 模块化后门形式的新东西。
用于多项任务的模块化后门
对 CVE-2021-44228 的利用会导致运行带有 base64 编码负载的 PowerShell 命令，最终从参与者控制的 Amazon S3 存储桶中获取“CharmPower”模块。
该核心模块可以执行以下主要功能：
- 验证网络连接- 执行后，脚本通过使用参数 hi=hi 向 google.com 发出 HTTP POST 请求来等待活动的 Internet 连接。
- 基本系统枚举——该脚本收集 Windows 操作系统版本、计算机名称以及 $APPDATA 路径中的文件 Ni.txt 的内容；该文件可能由主模块下载的不同模块创建和填充。
- 检索 C&C 域——恶意软件解码从硬编码 URL hxxps://s3[.]amazonaws[.]com/doclibrarysales/3 检索到的 C&C 域，该 URL 位于下载后门的同一 S3 存储桶中。
- 接收、解密、执行后续模块。
核心模块不断向 C2 发送 HTTP POST 请求，这些请求要么没有得到答复，要么收到一个 Base64 字符串，该字符串启动下载额外的 PowerShell 或 C# 模块。
“CharmPower”负责解密和加载这些模块，然后这些模块与 C2 建立独立的通信通道。
解码 C2 获取的附加模块
要发送到受感染端点的模块列表是根据 CharmPower 在侦察阶段检索到的基本系统数据自动生成的。
C2发送的附加模块如下：
- 应用程序– 枚举卸载注册表值并使用“wmic”命令确定受感染系统上安装了哪些应用程序。
- 屏幕截图- 根据指定的频率捕获屏幕截图并使用硬编码凭据将它们上传到 FTP 服务器。
- 进程– 使用 tasklist 命令获取正在运行的进程。
- 系统信息——运行“systeminfo”命令来收集系统信息。有更多命令，但被注释掉了。
- 命令执行- 具有 Invoke-Expression、cmd 和 PowerShell 选项的远程命令执行模块。
- 清理- 删除受感染系统中留下的所有痕迹的模块，例如注册表和启动文件夹条目、文件和进程。它在 APT35 攻击的最后被丢弃。
清除所有活动痕迹的清理模块
与旧后门的相似之处
Check Point 注意到“CharmPower”与 APT35 过去使用的 Android 间谍软件之间的相似之处，包括实现相同的日志记录功能并使用相同的格式和语法。
此外，在两个样本中都可以看到 C2 通信中的“Stack=Overflow”参数，这是仅在 APT35 工具中看到的独特元素。
两个恶意软件样本中使用的参数相同这些代码相似性和基础设施重叠使 Check Point 将活动归因于 APT35。
“CharmPower”是一个例子，说明老练的参与者可以如何快速响应 CVE-2021-44228 等漏洞的出现，并将来自先前暴露工具的代码组合在一起，以创建可以超越安全和检测层的强大而有效的东西。
