在國際執法機構拆除臭名昭著的QakBot僵尸網絡幾個月后，發現了一個分發相同惡意載荷的新網絡釣魚活動。

QakBot（也被稱為“QBot”、“QuackBot”和“Pinkslipbot”）是2023年最常部署的惡意軟件載入程序之一，直到8月由FBI領導的行動使其離線，并解除了70萬臺被感染機器與僵尸網絡的連接。

微軟威脅情報團隊在12月15日發布于X平臺（原Twitter）的一篇帖子中表示，他們已經識別出一場新的QakBot網絡釣魚活動。

“該活動始于12月11日，規模較小，針對的是酒店業，”研究人員說。

新活動的目標收到了一封偽裝成美國國稅局（IRS）雇員的電子郵件。郵件中附有一個PDF附件，包含一個下載數字簽名的Windows安裝程序（.MSI）文件的URL。

如果受害者執行了MSI文件，它將啟動QakBot惡意軟件。該有效載荷配備了以前未見的惡意軟件版本0x500，微軟研究人員表示。

盡管獨特的版本號表明過去幾個月可能已經引入了更新，但另一位研究人員在X平臺上說：“總的來說，這個新版Qbot感覺基本上和舊東西一樣，只是有一些小調整。”

“獵鴨”行動即將繼續

8月，當局不僅拆除了僵尸網絡——在被稱為“行動獵鴨”的行動中——還沒收了該團伙負責QakBot的基礎設施和價值860萬美元的加密貨幣。

雖然拆除一個耗費多年建立的重要僵尸網絡被認為是一次重大勝利，但研究人員當時警告稱，由于沒有逮捕行動，負責QakBot的威脅行為者可能重新集結。

10月，思科塔洛斯（Cisco Talos）表示，它認為同一團伙在QakBot被打擊的前幾周通過網絡釣魚郵件分發了勒索騎士（Ransom Knight）勒索軟件和Remcos后門。塔洛斯研究人員表示，盡管8月的突襲摧毀了該團伙的指揮和控制服務器，但并未影響到它們的垃圾郵件傳輸基礎設施。

QakBot最初于2008年被觀察到，并在多年中定期更新。一旦侵入受害者的計算機，惡意軟件就可以向被感染的系統傳遞其他惡意載荷，包括勒索軟件。

它曾被多個勒索軟件團伙作為感染的初始手段使用，包括Conti和Black Basta。

Qakbot在2021年針對肉類加工商JBS的攻擊中發揮了作用，該攻擊干擾了其生產設施，并迫使其支付1100萬美元的贖金。為了解除70萬臺被感染計算機與僵尸網絡的連接，FBI在8月將Qakbot流量引向并通過該機構控制的服務器。這些位于美國和世界各地的被感染機器隨后被指示下載一個由執法機構創建的文件，以卸載該惡意軟件。