FortiGuard实验室于近日发文称,他们在最近捕获了一封恶意的Microsoft Office Word文档,其中包含可自动执行的恶意VBA代码,能够在受害者的Windows系统上安装NanoCore远控***。
恶意Word文档分析
根据FortiGuard实验室的说法,被捕获的恶意文档被命名为“eml_-_PO20180921.doc”。在你打开它时,会在窗口顶部看到一个×××的警告条,旨在诱使你点击“启用内容(Enable Content)”。一旦点击,恶意VBA代码就会在后台执行。
FortiGuard实验室的分析表明,恶意VBA代码只会做一件事——首先从网址“hxxp://www.wwpdubai.com/wp-content/plugins/jav/inv.exe”下载一个EXE文件并将其保存为“%temp% \CUVJN.exe”,然后执行它。
CUVJN.exe是一个.Net框架程序,它的原始名称是“icce.exe”,但它不是真正的NanoCore***。CUVJN.exe实际作用是解密数据,以获得一个新的PE文件。解密的PE文件是另一个.Net框架程序,它的原始名称是“dll.exe”。
dll.exe实际上是一个守护进程,它首先会创建一个互斥锁(Mutex),并检查该进程是否已经存在,以确保只会有一个该进程处于运行状态。然后,它会通过检测“snxhk.dll”模块是否来判定受害者的系统是否运行有Avast杀毒软件(snxhk.dll是其模块之一)。如果Avast在运行的话,它则会对其进行卸载。
接下来,它会执行与CUVJN.exe相似的活动,从资源部分加载一个gzip压缩文件。然后,对其进行解压缩,以获取一个PE文件,而这个PE文件才是真正的NanoCore 远控***。
NanoCore远控***分析
NanoCore实际上是一中在2013年首次被发现的远控***,它能够在受害者的计算机上执行多种恶意操作,如注册表编辑、进程控制、权限提升、文件传输、键盘记录、密码窃取等。
为了展示NanoCore的恶意功能,FortiGuard实验室的研究人员进行了一项测试。在测试中,
研究人员使用Chrome浏览器打开了一个网上银行网站,并在登录页面上输入了测试用的帐号和密码。测试结果证实,由研究人员输入的所有内容全都被NanoCore获取到,并保存在“Logs”文件夹下的文件中。从这些文件的命名来看,它们试图伪装成Windows更新日志文件。
如何删除该恶意软件
FortiGuard实验室的研究人员表示,NanoCore受害者可以通过以下步骤来手动删除该***:
1)从系统注册表“HKCU\Software\Microsoft\Windows\CurrentVersion\Run”或“HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”(取决于Windows系统版本)中删除值“DHCP Manager”并保存该值的数据(如“%AppData%\[随机字符串]\DHCP Manager\dhcpmgr.exe”)供后续使用;
2)重新启动Windows系统;
3)删除文件夹“%AppData%\Microsoft\Windows\ScreenToGif”;
4)删除在步骤1中保存的文件夹。
转载于:https://blog.51cto.com/13520190/2345814