Zloader木马升级，通过DNS隧道实现更隐蔽的攻击
最近更新时间：2025-09-28 12:23:56 来源：51DNS.COM
沉寂近两年的Zloader木马（又名Terdot、DELoader或SilentNight）携2.13.7.0新版本卷土重来，其反分析、代码混淆及命令控制能力实现全方位升级。ZscalerThreatLabz研究人员警示，这款曾以银行欺诈为目标的恶意软件，已进化为勒索软件运营商的"敲门砖"，成为渗透企业网络的高危初始访问工具。
Zloader的进化轨迹清晰可见。该恶意软件脱胎于2015年泄露的Zeus源代码，早期专注于银行欺诈活动。而最新版本已完成战略转型，不再局限于单一诈骗目的，转而成为初始访问经纪人（IAB）为勒索团伙服务的模块化平台。研究报告指出："Zloader现在的核心定位是突破企业网络防线，为后续部署勒索软件铺平道路。"这种角色转变使其对企业组织的威胁等级大幅提升，从单纯的财产欺诈升级为系统性网络攻击的前置环节。
新版Zloader在隐蔽性上投入重兵，针对现代检测手段打造多重规避策略：
1、文件名伪装：摒弃早期硬编码文件名的僵硬模式，改用"Updater.exe"和"Updater.dll"这类系统常见的通用文件名，降低被用户或安全软件察觉的概率，提升攻击灵活性。
2、多层代码混淆：采用基于XOR的整数解码等混淆技术，对核心恶意代码进行加密处理，阻碍安全人员逆向分析，延长样本检测周期。
3、进程权限检测：新增Windows进程完整性级别识别功能，一旦检测到自身在管理员权限下执行，会立即主动退出。这一设计精准规避了多数以管理员权限运行的沙箱分析环境，大幅降低样本被捕获分析的风险。
4、攻击能力强化：横向移动与网络探测升级
为实现对企业网络的深度渗透，Zloader2.13.7.0版本新增LDAP（轻量级目录访问协议）功能套件，赋予攻击者更强的内网探测能力：可绑定目录服务器、查询用户信息及属性，快速梳理企业网络架构与人员权限分布。同时，其交互式shell功能也完成升级，进一步提升了攻击者在网络内横向移动的效率，助力其从初始入侵点向核心业务系统渗透。
指挥控制（C2）通信机制的革新是此次升级的核心亮点，Zloader通过三项关键改动构建难以检测的通信链路：
1、弃用旧版DGA：不再依赖传统的域名生成算法（DGA），减少因域名特征规律被检测的风险。
2、DNS查询编码混淆：在DNS查询中采用Base32编码叠加自定义算法，将恶意指令隐藏在看似正常的DNS流量中，使攻击通信与合法网络请求难以区分，规避基于DNS特征的检测规则。
3、新增WebSocket支持：引入WebSocket协议作为备用C2信道，将恶意流量伪装成常见的Web服务连接。研究人员分析："WebSocket的加入使Zloader能更好地混入HTTPS等合法流量，突破基于网络层的访问控制与检测体系。"
与普通恶意软件的大规模传播策略不同，新版Zloader目前聚焦于少量高价值目标展开精准攻击。这种"精准打击"模式导致其野外样本捕获率极低，增加了安全厂商的检测难度。研究人员强调，Zloader正逐渐成为初始访问经纪人手中的关键工具，为勒索软件团伙提供"定制化"的网络入侵服务，这种产业链协作模式将进一步加剧企业面临的勒索攻击风险。