吃瓜要当心！黑客利用娱乐热点大肆传播病毒

火绒安全实验室 · 发表于 2023-4-21 19:08

本帖最后由火绒安全实验室于 2023-4-21 19:13 编辑

近日，火绒威胁情报系统发现RdPack病毒正在快速传播，该病毒将文件名伪装成娱乐热点（景甜张继科聊天记录曝光.exe）的方式在微信群中大肆传播，经安全人员分析发现，运行病毒后会释放并静默安装RdViewer远控软件，黑客可通过RdViewer远控软件来操控受害者终端，并且执行恶意行为如：文件窃取、监控麦克风、摄像头等恶意功能。

据火绒威胁情报系统显示，一天内火绒已帮助数千台终端成功拦截该病毒。火绒用户无需担心，火绒安全产品可拦截、查杀该病毒。已中毒的用户，可使用火绒【全盘查杀】并重启电脑即可彻底查杀该病毒。

查杀图

一、详细分析

病毒文件“景甜张继科聊天记录曝光.exe”运行之后，会将RdViewer远控软件释放到C:\Program Files\FileName目录下，火绒剑监控到的行为，如下图所示：

火绒剑行为监控

通过RdClient.exe远控签名信息，可知该程序为RdViewer远控软件，如下图所示：

通过执行不断网安装.vbs脚本来静默安装RdViewer，相关脚本，如下图所示：

不断网安装.vbs

并添加系统服务来进行持久化操作，服务名为Rd_service，当计算机启动时RdViewer会静默启动，相关服务信息，如下图所示：

黑客可通过RdViewer远控软件来操控受害者终端，并且执行恶意行为如：文件窃取、监控麦克风、摄像头等恶意功能，RdViewer管理端界面，如下图所示：

RdViewer管理端界面

二、附录

HASH：

Zet_Dark · 发表于 2023-4-21 19:44

网上冲浪这么久，这种类型的文件一看就有问题啊

jyjjf · 发表于 2023-4-21 19:27

这种，看见exe就知道有猫腻

w1246341 · 发表于 2023-4-21 23:26

一看后缀exe
二看大小几kb
都不鸟它

likaiaixuexi · 发表于 2023-4-21 19:32

支持，上个月把360换成了火绒，感觉系统清静了不少

lcg888 · 发表于 2023-4-21 19:10

老规矩这波还是支持火绒的

弗由 · 发表于 2023-4-21 19:22

感谢大佬的热心分享

sorryzzital · 发表于 2023-4-21 19:23

我一向都不关注这些东西，网络安全确实很重要，我们还是小心为好！

whitehack · 发表于 2023-4-21 19:23

希望火绒永远好用

vipzzc · 发表于 2023-4-21 19:24

这个可以啊

LionJiu312 · 发表于 2023-4-21 19:40

wocao？现在吃个瓜的这么危险。。

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 吃瓜要当心！黑客利用娱乐热点大肆传播病毒

免费评分

免费评分