最近，安全研究人員發現了一個新版本的Windows惡意軟件，該惡意軟件可打開Windows PC上的RDP端口，以便進行遠程訪問。

SentinelOne的安全研究員Jason Reaves透露，這種新版本的惡意軟件被稱為``Sarwent''，自2018年以來一直在使用。

目前，這種新版本的Sarwent惡意軟件已經引起了眾多安全專家的關注。

安全研究員Vitali Kremez在今年(2020年)年初發送了一條twitter，他在推文中提到了有關這個Sarwent惡意軟件的一些信息。

安全專家說，到目前為止還不能確定Sarwent是如何分發的，可能是通過其他惡意軟件傳播的。此外，Sarwent的早期版本是為了在受損的PC上安裝額外的惡意軟件而開發的。

Sarwent惡意軟件的運營商很有可能在黑客的網站和論壇上出售“對這些受損系統的訪問權”，因為這是最常見的將具有RDP功能的主機盈利化的方法之一。

Sarwent功能

黑客仍在不斷的開發和使用Sarwent惡意軟件，它具有新的命令，并且側重于遠程桌面協議(RDP)。Sarwent的新版本以其通過Windows命令提示符和PowerShell實用程序執行自定義CLI命令的能力而著稱。

安全專家稱，這項新功能本身具有很強的入侵性，但除了此功能外，Sarwent還通過該更新獲得了另一個新功能，即具有在每個受感染主機上注冊新Windows用戶帳戶的功能。

一旦Sarwent成功入侵系統，惡意軟件就會創建一個新的Windows用戶帳戶，修改防火墻，然后打開RDP端口。

簡而言之，攻擊者將能夠使用他們在受感染系統上創建的新Windows用戶訪問主機，而不會被Windows防火墻阻止。

SentinelOne的安全研究員Jason Reaves表示，攻擊者這樣做是為了將來在受感染的系統上獲得遠程訪問權，但這要看攻擊者本身，不排除攻擊者將RDP訪問權轉售給其他不法分子的可能性。

在有限的原始命令中可發現，這個惡意軟件的功能在歷史上是作為一個加載程序循環的，這里是部分的原始命令：

|download| 
|update| 
|vnc| 

但是，最近，攻擊者修改了Sarwent惡意軟件，添加了一些命令，這些命令主要集中在后門或RAT之類的功能上，以下是新添加的命令：

|cmd| 
|powershell| 
|rdp| 

Sarwent惡意軟件背后的攻擊發起者可能僅為自己使用RDP訪問權限，以竊取專有數據或安裝勒索軟件。但就如之前所講，不排除將RDP訪問權限租借給其他黑客的可能性。

IOC

除了對惡意軟件的描述外，SentinelOne的安全專家Jason Reaves還介紹了危害指標(IOCs)，更多詳情請參見原文。