本文来自微信公众号“嘶吼专业版”，作者/胡金鱼。
一种新发现的Linux恶意软件被称为“DISGOMOJI”，它使用一种新颖的方法，利用表情符号在受感染的设备上执行命令，并以此攻击了印度的政府机构。
该恶意软件是由网络安全公司Volexity发现的，该公司认为它与巴基斯坦的威胁行为者“UTA0137”有关。
2024年，Volexity发现了一个疑似巴基斯坦威胁分子发起的网络间谍活动，Volexity目前以别名UTA0137跟踪该活动。
该恶意软件与用于不同攻击的许多其他后门/僵尸网络类似，允许威胁分子执行命令、截取屏幕截图、窃取文件、部署其他有效负载以及搜索文件。然而，它使用Discord和表情符号作为命令和控制(C2)平台，这使得该恶意软件与众不同，并可能使其绕过寻找基于文本的命令的安全软件。
Discord和表情符号作为C2
据Volexity称，研究人员在ZIP存档中发现了一个UPX封装的ELF可执行文件，该可执行文件很可能是通过钓鱼邮件传播的，之后研究人员发现了该恶意软件。
Volexity认为，该恶意软件的目标是印度政府机构用作桌面的定制Linux发行版BOSS。然而，该恶意软件同样可以轻易用于攻击其他Linux发行版。
恶意软件运行时会下载并显示一个PDF诱饵，该诱饵是印度国防军官公积金的受益人表格，用于军官死亡时使用。
但是，还会在后台下载其他有效载荷，包括DISGOMOJI恶意软件和名为“uevent_seqnum.sh”的shell脚本，用于搜索USB驱动器并从中窃取数据。
当DISGOMOJI启动时，恶意软件将从机器中窃取系统信息，包括IP地址、用户名、主机名、操作系统和当前工作目录，并将这些信息发送回攻击者。
为了控制恶意软件，威胁者利用开源命令和控制项目discord-c2，该项目使用Discord和表情符号与受感染的设备进行通信并执行命令。恶意软件将连接到攻击者控制的Discord服务器，并等待威胁者在频道中输入表情符号。
DISGOMOJI在Discord服务器上的命令通道中监听新消息。C2通信使用基于表情符号的协议进行，攻击者通过向命令通道发送表情符号向恶意软件发送命令，并在表情符号后附加其他参数（如果适用）。
当DISGOMOJI正在处理命令时，它会在命令消息中用“时钟”表情符号做出反应，让攻击者知道命令正在处理中。命令完全处理后，“时钟”表情符号反应将被删除，DISGOMOJI会在命令消息中添加“复选标记按钮”表情符号作为反应，以确认命令已执行。
九个表情符号用于表示在受感染设备上执行的命令，如下所示。
该恶意软件通过使用 reboot cron命令在启动时执行恶意软件来保持在Linux设备上的持久性。
Volexity表示，他们发现了其他版本，这些版本利用了DISGOMOJI和USB数据窃取脚本的其他持久性机制，包括XDG自动启动条目。
一旦设备被攻破，威胁者就会利用其访问权限进行横向传播，窃取数据，并试图从目标用户那里窃取更多凭据。
