在國(guó)際執(zhí)法機(jī)構(gòu)拆除臭名昭著的QakBot僵尸網(wǎng)絡(luò)幾個(gè)月后，發(fā)現(xiàn)了一個(gè)分發(fā)相同惡意載荷的新網(wǎng)絡(luò)釣魚(yú)活動(dòng)。

QakBot（也被稱(chēng)為“QBot”、“QuackBot”和“Pinkslipbot”）是2023年最常部署的惡意軟件載入程序之一，直到8月由FBI領(lǐng)導(dǎo)的行動(dòng)使其離線(xiàn)，并解除了70萬(wàn)臺(tái)被感染機(jī)器與僵尸網(wǎng)絡(luò)的連接。

微軟威脅情報(bào)團(tuán)隊(duì)在12月15日發(fā)布于X平臺(tái)（原Twitter）的一篇帖子中表示，他們已經(jīng)識(shí)別出一場(chǎng)新的QakBot網(wǎng)絡(luò)釣魚(yú)活動(dòng)。

“該活動(dòng)始于12月11日，規(guī)模較小，針對(duì)的是酒店業(yè)，”研究人員說(shuō)。

新活動(dòng)的目標(biāo)收到了一封偽裝成美國(guó)國(guó)稅局（IRS）雇員的電子郵件。郵件中附有一個(gè)PDF附件，包含一個(gè)下載數(shù)字簽名的Windows安裝程序（.MSI）文件的URL。

如果受害者執(zhí)行了MSI文件，它將啟動(dòng)QakBot惡意軟件。該有效載荷配備了以前未見(jiàn)的惡意軟件版本0x500，微軟研究人員表示。

盡管獨(dú)特的版本號(hào)表明過(guò)去幾個(gè)月可能已經(jīng)引入了更新，但另一位研究人員在X平臺(tái)上說(shuō)：“總的來(lái)說(shuō)，這個(gè)新版Qbot感覺(jué)基本上和舊東西一樣，只是有一些小調(diào)整。”

“獵鴨”行動(dòng)即將繼續(xù)

8月，當(dāng)局不僅拆除了僵尸網(wǎng)絡(luò)——在被稱(chēng)為“行動(dòng)獵鴨”的行動(dòng)中——還沒(méi)收了該團(tuán)伙負(fù)責(zé)QakBot的基礎(chǔ)設(shè)施和價(jià)值860萬(wàn)美元的加密貨幣。

雖然拆除一個(gè)耗費(fèi)多年建立的重要僵尸網(wǎng)絡(luò)被認(rèn)為是一次重大勝利，但研究人員當(dāng)時(shí)警告稱(chēng)，由于沒(méi)有逮捕行動(dòng)，負(fù)責(zé)QakBot的威脅行為者可能重新集結(jié)。

10月，思科塔洛斯（Cisco Talos）表示，它認(rèn)為同一團(tuán)伙在QakBot被打擊的前幾周通過(guò)網(wǎng)絡(luò)釣魚(yú)郵件分發(fā)了勒索騎士（Ransom Knight）勒索軟件和Remcos后門(mén)。塔洛斯研究人員表示，盡管8月的突襲摧毀了該團(tuán)伙的指揮和控制服務(wù)器，但并未影響到它們的垃圾郵件傳輸基礎(chǔ)設(shè)施。

QakBot最初于2008年被觀(guān)察到，并在多年中定期更新。一旦侵入受害者的計(jì)算機(jī)，惡意軟件就可以向被感染的系統(tǒng)傳遞其他惡意載荷，包括勒索軟件。

它曾被多個(gè)勒索軟件團(tuán)伙作為感染的初始手段使用，包括Conti和Black Basta。

Qakbot在2021年針對(duì)肉類(lèi)加工商JBS的攻擊中發(fā)揮了作用，該攻擊干擾了其生產(chǎn)設(shè)施，并迫使其支付1100萬(wàn)美元的贖金。為了解除70萬(wàn)臺(tái)被感染計(jì)算機(jī)與僵尸網(wǎng)絡(luò)的連接，FBI在8月將Qakbot流量引向并通過(guò)該機(jī)構(gòu)控制的服務(wù)器。這些位于美國(guó)和世界各地的被感染機(jī)器隨后被指示下載一個(gè)由執(zhí)法機(jī)構(gòu)創(chuàng)建的文件，以卸載該惡意軟件。