RevengeHotels是一个自2015年起就活跃的以经济利益为动机的威胁组织，该组织通过将大型语言模型生成的代码整合到其感染链中，加大了对酒店行业机构的攻击力度。
该组织最初因通过钓鱼邮件针对酒店前台系统部署定制的远程访问工具（RAT）家族（如RevengeRAT和NanoCoreRAT）而为人所知，其最新活动则转向通过动态生成的JavaScript加载器和PowerShell下载器交付VenomRAT植入程序。
这些复杂的初始感染程序模仿专业的开发标准，嵌入了详细的注释和变量占位符，这表明它们是自动生成的代码。
近几个月来，运营商专门针对巴西的酒店业网络，不过西班牙语的诱惑已将范围扩大到拉丁美洲的西班牙语市场。
伪装成过期发票通知或虚假工作申请的电子邮件会诱使收件人访问恶意域，这些域托管以旋转“Fat{NUMBER}. js”格式命名的脚本——葡萄牙语为“发票”——以启动下载过程。
执行时，加载器会对经过混淆处理的缓冲区进行解码，并写入一个带有时间戳文件名的PowerShell文件，以确保每个样本都保持唯一性并规避基于特征的检测。
Securelist的分析师指出，这些轮换的文件名以及生成代码的连贯性，与该组织此前的手动混淆操作有所不同。
PowerShell存根执行后，会从远程服务器检索两个经过Base64编码的有效负载——venumentrada.txt和runpe.txt。
第一个文件充当轻量级加载器，而第二个文件则直接在内存中执行VenomRAT有效载荷。
Securelist的研究人员发现，如图1所示，该加载器采用了一种简单的反混淆程序，在不将最终可执行文件写入磁盘的情况下对植入程序进行解码和调用。
VenomRAT植入程序本身基于开源的QuasarRAT代码库构建，并通过隐藏桌面（HVNC）、文件窃取模块和用户账户控制（UAC）绕过原语对其进行了增强。
配置数据采用AES-CBC进行加密，并通过HMAC-SHA256进行认证，加密和解密以及完整性验证使用不同的密钥。
网络例程会将特定于操作的数据包序列化，使用LZMA进行压缩，然后在传输到命令与控制服务器之前用AES-128进行加密。
值得注意的是，VenomRAT集成了基于ngrok的隧道技术，以暴露远程桌面协议（RDP）和虚拟网络计算服务，即便在网络地址转换（NAT）或防火墙限制下，也能增强远程访问能力。
感染机制
感染链的成功取决于初始JavaScript加载器能否协调多阶段有效载荷的交付，同时将人工智能生成的清晰度与手动混淆相结合。
在用户点击钓鱼邮件中的恶意链接后，受害者的浏览器会获取一个WScript JS文件——Fat146571.js，该文件会立即解码一个嵌入的二进制大对象（blob）。
var decoded = atob("SGDoHBZQWpL...");
// Write decoded PowerShell to disk
var fso = new ActiveXObject("Scripting.FileSystemObject");
var ps1 = fso.CreateTextFile("SGDoHBZQWpLKXCAoTHXdBGlnQJLZCGBOVGLH_" + Date.now() + ".ps1", true);
ps1.WriteLine(decoded);
ps1.Close();
// Execute the PowerShell script silently
WScript.CreateObject("WScript.Shell").Run("powershell -ExecutionPolicy Bypass -File " + ps1.Name, 0, false);这一部分体现了人工智能在生成干净、可维护但却会执行恶意操作的代码方面所扮演的角色。
通过基于时间戳生成独特的文件名并避免留下持久痕迹，该加载程序能够避开传统的防病毒软件和取证工具。
三相执行（解码、写入和执行）确保每个感染实例都有所不同，这使得检测特征更新变得复杂。
通过这种人工智能驱动的脚本与先进的远程访问工具（RAT）能力的结合，RevengeHotels不断完善其针对Windows环境的攻击手段，给网络安全防御者带来了日益严峻的挑战。
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
