EtherRAT 与 TukTuk C2 攻击最终部署 The Gentlemen 勒索软件

The DFIR Report 复盘了 4 月观察到的一次入侵，攻击者通过伪装成 Sysinternals RAMMap 的恶意 MSI 投放 EtherRAT，该变种经 1rpc.io 从 Ethereum 区块链获取 C2 配置，随后下载 Node.js 运行时并执行混淆 JavaScript 载荷。