Avaddon勒索软件

2020年8月17日, 国内信息网络安全公司江民报道，研究人员捕获由同一僵尸网络分发的活动，该活动反映了在去年4月防御和分析的僵尸网络所使用的技术，战术和程序。但是，此活动提供了新的Avaddon勒索软件。这些消息的主题非常简单。所有都包含各种主题行，试图诱使收件人打开照片以及电子邮件正文中的眨眼表情符号。该活动的显示名称似乎全是男性发件人姓名，与去年在该活动中观察到的女性姓名不同。与去年相似，攻击者再次使用四个数字作为该活动的对象。所有消息都包含以IMG .jpg.js.zip格式的附件。解压缩zip文件后，其中就有一个1 KB的小javascript文件。这比去年的8 KB运动要小得多，主要是因为最新版本不包含任何其他混淆技术。该文件将启动Windows脚本宿主，以运行带有执行策略旁路标志的命令来启动PowerShell。这将指示Windows运行未签名的脚本而不被阻止或显示任何警告。然后，在执行之前，将从217 [。] 8 [。] 117 [。] 63的IP下载名为sava.exe的文件到本地temp文件夹中并保存为5203508738.exe。整个有效负载链在不到一分钟的时间内完成了对文件使用.avdn扩展名的加密。