黑莓研究與情報團隊和畢馬威（KPMG）的英國網絡響應服務團隊報告說：“ 威脅焦點：大亨勒索軟件針對教育和軟件行業 。” 該報告概述了“針對Windows和Linux的多平臺Java勒索軟件，至少從2019年12月開始就在野外觀察到”，他們將其稱為“ Tycoon”。

該報告提供了有關如何執行Tycoon勒索軟件的高級描述：“ Tycoon勒索軟件以ZIP存檔的形式出現，其中包含Trojanized Java Runtime Environment（JRE）構建。 該惡意軟件被編譯為Java映像文件（JIMAGE），位于構建目錄內的lib \ modules。” 該報告描述了“稀疏記錄的” JIMAGE“文件格式的文件格式，該文件格式存儲了定制的JRE映像，該映像設計用于Java虛擬機（JVM）在運行時使用。” 有關JIMAGE文件格式的其他高級概述，請參見《 JIMAGE – Java映像文件格式》 ， 《 Java 9中如何打包模塊》，《 Java 9中 的自定義運行時映像》？ ， 那么什么是.jimage？ ， Alan Bateman的描述以及JDK 9 Java Platform Module System的 幻燈片49 。 JIMAGE格式是通過JDK 9模塊化 （ Project Jigsaw ）引入的。

Alan Bateman（ JEP 220 [“模塊化運行時圖像”的所有者） 解釋了為什么很難找到有關JIMAGE格式的文檔：“故意不記錄該格式，最好假定它會隨著時間的推移而變化和發展。帶來新的優化。” jdk.jlink模塊文檔非常簡短地提到了jimage命令行工具，并提到它被“用于檢查特定于JDK實現的容器文件中的類和資源”。 它還指出，有一個用于訪問沒有API jimage ，這比該模塊的另外兩個工具（不同JLINK和JMOD ）。 同樣，沒有jimage了“關于刀具參考Java開發工具包版本14工具產品規格 ，即使”頁面jlink ， jmod ，和許多其他工具功能在那里。

先前提到的報告指出：“勒索軟件是通過執行shell腳本觸發的，該腳本使用java -m命令運行惡意Java模塊的Main函數。” 該報告還談到了使用具有Windows注冊表的“ 圖像文件執行選項注入”和隨后針對Windows和Linux的Tycoon：“惡意JRE版本包含此腳本的Windows和Linux版本。” 該報告還補充說，Tycoon的“木馬Java運行時環境（JRE）構建文件”以ZIP文件的形式存在于lib/module 。

根據研究觀察，“大亨勒索軟件針對教育和軟件行業 ”的“結論”部分得出了一些有趣的結論。 尤其值得一提的是，我讀到為什么他們相信大亨會發動有針對性的攻擊，這很有趣。 作者還指出：“這是我們遇到的第一個示例，該示例專門濫用Java JIMAGE格式來創建自定義的惡意JRE構建。”

我建議直接閱讀“威脅重點：大亨勒索軟件針對教育和軟件行業”的報告，但是對于那些對摘要以及與本報告相關的其他意見感興趣的人，可能會感興趣。

• 基于Windows和Linux的新的基于Java的勒索軟件 （TechCrunch， TechCrunch ）
• 這種新的勒索軟件針對Windows和Linux PC進行“獨特”攻擊 （ ZDNet ）
• 新發現的Tycoon勒索軟件利用晦澀的Java圖像格式 （ Silicon Angle ）
• 多平臺“大亨”勒索軟件使用罕見的Java圖像格式進行規避 （ SecurityWeek ）
• 即將推出 一個新的Java勒索軟件系列 （ Cyber??Scoop ）

大亨的發現很可能比以往任何時候都對JIMAGE帶來更多的關注。

翻譯自: https://www.javacodegeeks.com/2020/06/tycoon-ransomware-targeting-javas-jimage-on-multiple-platforms.html

總結

以上是生活随笔為你收集整理的Tycoon：针对多种平台上的Java JIMAGE的勒索软件的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。