后门病毒伪装成正常文件诱导点击 请保持警惕

火绒安全实验室

近期，火绒威胁情报系统监测到后门病毒伪装成“36种财会人员必备技巧(珍藏版) .rar”在微信群聊中快速传播。经火绒工程师分析发现，用户打开解压后的.exe文件后，该病毒则会运行，随后执行终止杀软进程、禁止杀软自启动，以及操控受害者终端并执行文件监控、远程控制、键盘记录等恶意行为，对用户构成很大的安全威胁。

         

                    群聊截图

在此，火绒工程师提醒大家时刻注意群聊中发送的陌生文件，如有必要先使用安全软件扫描后再使用。火绒安全产品可对上述病毒进行拦截查杀，请用户及时更新病毒库以进行防御。

查杀图

一、  样本分析

病毒执行流程，如下图所示：

病毒的执行流程

由于杀毒软件Zemana的反病毒驱动启动时，会根据注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ZAM_BootCleaner\DeleteServices中的值来删除对应的驱动注册表项，黑客利用这一特性，在病毒启动后向该注册表位置中写入其他杀毒软件的驱动注册项名，来删除其他杀毒软件的驱动注册项，如下图所示：

向注册表写入代码

会被删除的驱动列表，如下图所示：

驱动列表

释放并加载ZAM杀软驱动，相关代码，如下图所示：

释放驱动并加载

之后再利用该驱动的接口来终止其他杀毒软件进程，相关代码，如下所示：

终止其他进程相关代码

通过镜像劫持功能，禁止杀毒软件进程启动，火绒剑监控到的行为，如下图所示：

火绒剑监控到的行为

等禁用杀毒软件之后，会从C&C服务器获取对应的配置文件，根据配置文件下载Loader模块，相关代码，如下所示：

获取配置信息

根据配置信息下载Loader模块CMO03.exe到C:\Users\YourUserName\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\目录下并执行，火绒剑监控到的行为，如下图所示：

火绒剑监控到的行为

该模块从资源中解密，并执行shellcode1，相关代码，如下图所示：

解密执行shellcode1

在shellcode1中会从C&C服务器接收、执行shellcode2，相关代码，如下图所示：

接收、执行shellcode2

在shellcode2中会内存加载后门模块，相关代码，如下图所示：

内存加载后门模块

该后门模块具备各种恶意功能如：键盘记录、文件窃取、远程控制等恶意功能，以下对一些较为重要的恶意代码进行举例说明，远程控制相关代码，如下图所示：

远程控制

执行C&C服务器下发的程序，相关代码，如下图所示：

执行C&C服务器下发的任意程序

键盘记录，相关代码，如下图所示：

键盘记录

二、附录

C&C：

HASH：

307921917

这病毒还算良心，居然帮用户清理2345这个流氓

羽度非凡

这标题……我还以为解压就中毒，原来还是需要运行里面的.exe文件才会中~~~

riwfhiu

"用户打开解压后的.exe文件后，该病毒则会运行。"
麻烦下次不要取这种具有误导性的标题了，我还以为解压过程就会中毒呢。
标题改成：【新型伪装投毒分析--36种财会人员必备技巧(珍藏版) .rar】，这样人群准确无误，还会吸引对应的财务行业相关人员参考。效果不比把我门外汉骗进来好多了

vosdbk

相对还是比较传统的传播方式, 手机上面查看应该影响不大, 对于电脑常识比较匮乏的群体而言具有一定的威胁

夏瑾轩

BananaLi 发表于 2023-6-12 14:58
光解压不执行也会吗

光解压不执行倒不会触发

ypcok

羽度非凡 发表于 2023-6-12 14:47
这标题……我还以为解压就中毒，原来还是需要运行里面的.exe文件才会中~~~

现在还是多加小心为妙！

逆风123

现在有个行业叫投毒手

夏瑾轩

最近都是这些远控木马，都遇见好多例了，虽然我的分析技术依旧很烂。但至少知道现在是什么情况。

Him8848

分析还得专业人士来才好看

BananaLi

光解压不执行也会吗