股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
招聘有“陷阱”！FakeWord木馬病毒偽裝簡歷文檔，點擊要小心
發(fā)布時間 ：2021年12月02日
類型 ：勒索軟件
分享：
事件描述
近日，亞信安全捕獲了一款仿冒Word文檔的木馬病毒FakeWord，該病毒將自身放置在具有系統(tǒng)以及隱藏屬性的文件夾中，偽裝成Word文檔的快捷方式，利用社會工程學(xué)誘導(dǎo)用戶啟動自身。自身運行后會釋放并打開正常的“簡歷”Word文檔來迷惑用戶，在打開“簡歷”文檔的同時，其會繼續(xù)釋放并運行第二階段木馬。第二階段木馬運行后會解密出惡意Dll，并將Dll注入到正常程序中，然后調(diào)用Dll中的導(dǎo)出函數(shù)在被注入的程序中創(chuàng)建遠(yuǎn)程線程。最終，在被注入的進(jìn)程中運行CS Beacon。目前亞信安全最新病毒碼版本和DDAN沙盒平臺已支持檢測！
攻擊流程
亞信安全產(chǎn)品解決方案
√ 亞信安全病毒碼版本17.193.60，云病毒碼版本17.193.71，全球碼版本17.193.00已經(jīng)可以檢測，請用戶及時升級病毒碼版本。
√ 亞信安全DDAN沙盒平臺已經(jīng)可以檢測。
病毒詳細(xì)分析
惡意快捷方式
Target:C:\Windows\explorer.exe ".__MACOSX\XXX-前端開發(fā).exe"
該病毒將自身放置在具有系統(tǒng)以及隱藏屬性的文件夾中：
XXX-前端開發(fā).exe分析
運行后釋放正常Word文檔：
打開Word文檔后，釋放第二階段木馬：
運行第二階段木馬：
二階段木馬resume.exe分析
該木馬具有反調(diào)試功能：
其運行后會解密出惡意Beacon Dll：
接下來，該樣本進(jìn)行反射式Dll注入：
通過Virus total我們可以查看該惡意Dll檢測信息：
該樣本外聯(lián)如下地址：
5qpk7dy70m93c[.]cfc-execute[.]bj[.]baidubce[.]com
安全建議
√ 打開系統(tǒng)自動更新，并檢測更新進(jìn)行安裝；
√ 不要點擊來源不明的郵件以及附件；
√ 不要點擊來源不明的郵件中包含的鏈接；
√ 請到正規(guī)網(wǎng)站或者應(yīng)用商店下載程序；
√ 采用高強度的密碼，避免使用弱口令密碼，并定期更換密碼；
√ 盡量關(guān)閉不必要的端口；
√ 盡量關(guān)閉不必要的網(wǎng)絡(luò)共享；
IOC
分享到微信
X