深信服安全团队详解网络钓鱼植入木马病毒的全过程

背景概述

近日，深信服终端安全研究团队中捕获到了一个木马程序，攻击者通过网络钓鱼的手段诱导受害者点击运行邮件中附带的木马程序，结合正常的Adobe CEF Helper程序进行攻击；在局域网内通过共享目录进行传播，并在用户主机上留下后门程序进行窃密或者其他恶意行为。

详细分析

从受害主机上的情况来看，病毒主要有三个部分构成：

木马的启动程序Explorer.exe其实为正常的Adobe CEF Helper程序，是Adobe Creative Cloud程序的组件之一：

该组织应该是发现了这个Helper程序会在执行过程中去以函数名的方式获取到Hex.dll中CEFProcessForkHandlerEx的函数地址并执行，所以就伪造了一个假的Hex.dll并导出同名函数CEFProcessForkHandlerEx进行劫持。