众所周知，美国国家宇航局（NASA）的詹姆斯•韦伯太空望远镜自发射以来一直为我们人类提供令人叹为观止的太空图像。凭借其卓越的技术，韦伯太空望远镜可以捕捉到宇宙大爆炸后不久形成的最早期星系的壮观景象。

据报道，黑客们也意识到了韦伯望远镜所拍摄图像的受欢迎程度，决定从中牟利。

安全公司Securonix的安全研究人员已发现了一起新的基于Golang编程语言的恶意软件活动，该活动利用来自韦伯太空望远镜的深空图像在受感染的设备上部署恶意软件。

这起持续性活动名为GO#WEBBFUSCATOR，凸显了恶意软件运营商日益青睐这种Go编程语言的现状，可能是由于其跨平台支持功能让黑客可以通过一个通用代码库攻击不同的操作系统。

三位研究人员D. Iuzvyk、T. Peck和O. Kolesnikov在其报告中解释，这起活动的原理是发送含有Geos-Rates.docx这个Microsoft Office附件的网络钓鱼电子邮件。该文件作为模板来下载。

这些电子邮件充当了攻击链的入口点。打开附件后，如果收件人启用了宏命令，经过混淆处理的VBA宏命令就会自动执行。宏命令执行后，会下载一个名为OxB36F8GEEC634.jpg的图像文件。

这似乎是韦伯望远镜发送的第一深空图像，但实际上它却是由Base64编码的有效载荷。Windows 64位可执行二进制文件大小为1.7MB。它可以轻松规避反恶意软件解决方案，并使用一种名为gobfuscation的手法来利用Golang混淆工具，这个工具放在GitHub上向公众开放。

据研究人员称，骗子们使用经过加密的DNS查询/响应与指控与控制（C2）服务器进行联系，恶意软件可以通过这台服务器接受并运行由该服务器通过Windows命令提示符发送的命令。

研究人员特别指出：“使用合法图像用Certutil构建Golang二进制文件并不是很常见。很显然，这个二进制文件的原始作者在设计有效载荷时既考虑到了一些简单的反取证技术，又考虑到了反端点检测和响应（EDR）检测方法。

参考及来源：https://www.hackread.com/hackers-malware-james-webb-space-telescope-images/