研究人員稱，AutoIt腳本語(yǔ)言因其靈活性和易用性的特點(diǎn)，已經(jīng)被越來(lái)越多的惡意軟件開(kāi)發(fā)者利用，相應(yīng)的惡意軟件樣本數(shù)量激增。
AutoIt是一個(gè)自動(dòng)化的Windows界面交互的腳本語(yǔ)言，具有很高的靈活性和較低的學(xué)習(xí)曲線。然而最近，反病毒廠商趨勢(shì)科技和BitDefender的安全研究人員發(fā)現(xiàn)，AutoIt的這種優(yōu)勢(shì)正在讓它淪為一款惡意軟件開(kāi)發(fā)工具。
趨勢(shì)科技的威脅研究員Kyle Wilhoit周一在其博客上稱，他們最近監(jiān)測(cè)發(fā)現(xiàn)，上傳至Pastebin的惡意AutoIt工具代碼數(shù)量持續(xù)上升。這種情況讓人十分擔(dān)憂，拿一個(gè)常見(jiàn)的工具——鍵盤記錄器來(lái)舉例，心懷不軌的人取得它的代碼后，可以在幾秒鐘之內(nèi)編譯和運(yùn)行。
“除了在Pastebin和Pastie網(wǎng)站上發(fā)現(xiàn)的這些工具，我們還看到惡意軟件利用AutoIt作為一個(gè)腳本語(yǔ)言的情況也在劇增，”Wilhoit說(shuō)。
使用AutoIt開(kāi)發(fā)惡意軟件的情況自2008年以來(lái)一直穩(wěn)步增加，殺毒軟件廠商BitDefender高級(jí)電子郵件分析師Bogdan Botezatu周二表示，AutoIt編寫(xiě)的惡意軟件樣本數(shù)量最近達(dá)到高峰，每月超過(guò)20000個(gè)。
“最開(kāi)始，AutoIt惡意軟件大多數(shù)用于廣告欺詐或者創(chuàng)建具有自我傳播機(jī)制的IM蠕蟲(chóng)，”博泰扎圖說(shuō)。“如今，AutoIt惡意軟件的范圍從勒索軟件到遠(yuǎn)程訪問(wèn)應(yīng)用程序?！?
最近發(fā)現(xiàn)一類特別復(fù)雜的基于AutoIt的惡意軟件，某個(gè)版本的DarkComet RAT(遠(yuǎn)程訪問(wèn)木馬程序)，Wilhoit聲稱，這種惡意軟件在受害者的機(jī)器上打開(kāi)一個(gè)后門，通過(guò)遠(yuǎn)程命令和控制服務(wù)器進(jìn)行通信，并修改Windows防火墻政策。
過(guò)去，DarkComet RAT被用于有針對(duì)性的APT攻擊，包括敘利亞政府針對(duì)該國(guó)政治活動(dòng)家的監(jiān)視活動(dòng)。趨勢(shì)科技發(fā)現(xiàn)這個(gè)變種有趣的地方，即它由AutoIt寫(xiě)成而且具有非常低的防病毒檢出率。
Botezatu指出，使用腳本語(yǔ)言來(lái)開(kāi)發(fā)復(fù)雜的惡意軟件不是一種普遍的做法，因?yàn)檫@些語(yǔ)言需要機(jī)器上安裝有解釋器來(lái)執(zhí)行，否則的話必須生成一個(gè)巨大的獨(dú)立的可執(zhí)行文件。不過(guò)也有例外，他說(shuō)：“例如火焰，該網(wǎng)絡(luò)間諜軟件使用Lua腳本語(yǔ)言自動(dòng)執(zhí)行一些任務(wù)，不會(huì)被反病毒產(chǎn)品檢測(cè)出來(lái)?！?
AutoIt非常直觀和易于使用，編譯產(chǎn)生的二進(jìn)制文件能夠脫離盒子運(yùn)行，這已經(jīng)在現(xiàn)有的Windows版本中得到很好的證明。此外，已經(jīng)有很多AutoIt惡意代碼在活躍在網(wǎng)絡(luò)上并被重復(fù)使用。
“最重要的是，在AutoIt中可以靈活地創(chuàng)建惡意軟件，還能輕松地蒙混過(guò)關(guān)。這意味著單一的惡意軟件可以重新制作，通過(guò)多重形態(tài)來(lái)對(duì)付檢測(cè)，以延長(zhǎng)它自身的存活周期。”Botezatu說(shuō)。
隨著AutoIt一類腳本語(yǔ)言的普及，越來(lái)越多的惡意軟件開(kāi)發(fā)者期待轉(zhuǎn)向這些平臺(tái)，Wilhoit說(shuō)：“易于使用和學(xué)習(xí)，以及在流行的托管站點(diǎn)發(fā)布代碼的優(yōu)勢(shì)，使得一大群心懷不軌的人們得到傳播他們的工具和惡意軟件的機(jī)會(huì)。”
