CoffeeLoader是網路安全公司Zscaler威脅實驗室ThreatLabz發現的新型惡意軟體，其最早活動可追溯至2024年9月，主要針對華碩遊戲本及台式機用戶發起攻擊。該軟體通過偽裝成華碩Armoury Crate奧創遊戲智控中心進行傳播，利用GPU加殼技術將惡意代碼注入顯存以規避傳統防毒軟體檢測，其核心模組被追蹤命名為“Armoury”。該惡意軟體通過SmokeLoader傳播。此外，也出現了針對macOS系統的變種。
感染後，CoffeeLoader通過調用堆疊欺騙、睡眠混淆和Windows纖程等技術對抗安全掃描，並連線遠程伺服器下載木馬程式竊取用戶密碼及登錄憑證。當主控伺服器不可用時，會啟用域名生成算法(DGA)維持通信。該惡意軟體通過創建計畫任務實現持久化，部分變種採用schtasks.exe或Windows ITaskScheduler COM接口設定為每10分鐘運行一次。研究人員確認其被用於部署Rhadamanthys信息竊取程式。
基本介紹
- 軟體名稱：CoffeeLoader
- 軟體平台：Windows、macOS
- 性質：惡意軟體
- 上線時間：2024年9月
發現歷史,傳播與感染,技術原理,關聯分析,跨平台變種,防範措施,
發現歷史
網路安全公司Zscaler的威脅實驗室ThreatLabz近期發現並命名了該惡意軟體CoffeeLoader，其活動最早可追溯至2024年9月。
傳播與感染
CoffeeLoader主要針對華碩遊戲本及台式機用戶發起攻擊，在Windows系統中通過偽裝成華碩Armoury Crate奧創遊戲智控中心進行傳播，在macOS系統中則主要通過受感染的軟體下載或偽裝成合法PDF/套用安裝程式的網路釣魚郵件傳播。感染後，CoffeeLoader會連線遠程伺服器下載木馬程式竊取用戶密碼及登錄憑證等敏感信息，並被用於部署Rhadamanthys信息竊取程式。該惡意軟體通過創建計畫任務（如AsusUpdateServiceUA）實現持久化，早期版本在用戶登錄時執行，新版每10分鐘運行一次，部分變種不具備持久化能力或通過UAC繞過實現。
技術原理
CoffeeLoader的核心載入器被追蹤命名為“Armoury”，採用基於GPU的加殼技術，將惡意代碼注入顯存以規避傳統防毒軟體掃描。該惡意軟體實現了多項對抗終端安全軟體的功能，包括調用堆疊欺騙、睡眠混淆和Windows纖程技術。
在調用堆疊欺騙方面，該惡意軟體採用此技術掩蓋函式調用來源，通過建立合成堆疊幀和動態映射系統調用來規避分析堆疊跟蹤的安全工具。在睡眠混淆方面，CoffeeLoader在非活動狀態加密記憶體，僅在執行時解密。
其主模組採用DJB2算法解析API函式地址。當主控伺服器不可用時，會啟用域名生成算法(DGA)維持通信。
CoffeeLoader支持多種命令，可注入執行shellcode、執行檔和DLL。具體命令包括休眠(0x58)、在指定進程注入運行shellcode(0x87)、更新休眠混淆方法和逾時(0x89)、將可執行載荷寫入臨時目錄並運行(0x91)、將DLL載荷寫入臨時目錄並通過rundll32.exe執行(0x93)。
其技術細節與SmokeLoader惡意軟體存在相似性。
關聯分析
根據Zscaler ThreatLabz的研究，CoffeeLoader與已知的SmokeLoader惡意軟體家族存在多項顯著的技術與行為相似性，表明兩者可能存在關聯。具體相似點包括：兩者都使用暫存組件將主模組注入到其他進程（如dllhost.exe）；基於系統詳情生成殭屍ID，並創建與之關聯的互斥體名稱；採用哈希算法（如DJB2）解析API函式導入項；在全局結構中存儲內部變數；使用硬編碼的RC4密鑰加密網路流量；重度依賴底層Windows API；通過修改檔案屬性保持隱蔽。此外，有證據表明CoffeeLoader通過SmokeLoader進行傳播，並且兩者共享如調用棧欺騙、休眠混淆等高級規避技術。然而，研究人員尚不確定CoffeeLoader是SmokeLoader的演進版本，還是獨立開發但巧合相似。這些相似性使得釐清兩者的確切關係成為後續研究的重點。
跨平台變種
網路安全研究人員發現了一種針對macOS系統的CoffeeLoader變種，其利用動態程式庫劫持(dylib hijacking)技術將惡意代碼載入到合法進程。該變種通過修改系統檔案、創建隱藏目錄並禁用macOS系統的某些原生安全功能來實現持久化。該惡意軟體可部署Rhadamanthysshellcode，並使受感染系統成為更大的殭屍網路基礎設施的一部分。
防範措施
針對企業及組織機構，分析人員建議立即更新端點防護解決方案，實施應用程式白名單制度，並掃描可疑的啟動代理或守護進程以應對威脅。
