SideCopy黑客利用ReverseRAT恶意软件攻击印度组织，窃取数据

原创

ZM
ZM

暗镜

2026年10月21日 06:00
北京

去阅读

印度当局警告称，SideCopy 黑客正以印度组织（包括学术机构）为目标，通过鱼叉式网络钓鱼攻击在 Windows 系统上部署 ReverseRAT，2026 年 10 月 15 日发布的公告将该威胁的严重程度归类为中等，并重点介绍了可以窃取密码、截取屏幕截图和收集敏感信息的恶意软件，该攻击活动结合了欺骗性附件、恶意 Windows 快捷方式、混淆脚本和合法的操作系统实用程序。

Trellix 的研究人员记录了一个多阶段感染链，该感染链在将远程访问木马加载到内存之前就建立了持久性，这使得通过传统的文件扫描进行检测变得复杂。

入侵始于一封钓鱼邮件，邮件中携带一个恶意 ZIP 压缩包。压缩包内有一个恶意 LNK 快捷方式，伪装成一个名称具有误导性且带有伪造 PDF 图标的文档，诱使收件人运行它。打开快捷方式会从攻击者控制的 docsportal[.]in 基础设施中检索一个混淆的 HTML 应用程序（HTA）。Windows 通过 mshta.exe 执行此脚本，使攻击者能够利用合法的系统实用程序作为其执行主机。

HTA 嵌入了 ne4snapk.dll，该 DLL 通过 .NET 反序列化加载到 mshta.exe 进程中。此 DLL 充当投放器，提取三个压缩组件：appT.bat、startT.hta 和 commskl.docx。该文档起到诱饵作用，脚本则继续推进感染过程。该恶意软件的持久化机制依赖于Windows注册表中的一个运行项，该项会在受影响用户登录时启动appT.bat。然后，该批处理脚本会启动mshta.exe，在后台执行startT.hta，从而使恶意软件无需再次进行网络钓鱼交互即可恢复运行。

二级 HTA 重构其混淆后的有效载荷，并通过反射加载 ioluegnt.dll（Trellix 将其识别为 ReverseRAT）。此过程使用 .NET 反序列化将编码内容转换为内存中的活动有效载荷。

尽管最终执行阶段减少了磁盘扫描的风险，但更广泛的入侵仍然会生成脚本和其他痕迹。因此，这是一种分阶段的感染，有效载荷位于内存中，而不是完全无文件的攻击。

ReverseRAT 可以收集系统元数据、已安装软件详情、屏幕截图、密码和剪贴板内容。操作者还可以执行命令、篡改文件、上传其他内容并启动 shell 会话，从而获得对受感染终端的广泛访问权限。

据报道，该恶意软件的命令与控制基础设施包括 dns[.]educationportals[.]biz，通信使用 TCP 端口 5863。该恶意软件还使用硬编码的加密密钥来保护命令与控制流量和被盗信息。