搜索

[26368] 2021-02-17_年轻人不讲武德，居然在简历中藏木马！

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-02-17_年轻人不讲武德，居然在简历中藏木马！ 年 轻 人 不 讲 武 德 ， 居 然 在 简 历 中 藏 木 马 ！ L i n u x 学 习   2 0 2 1 - 0 2 - 1 7 以 下 文 章 来 源 于 小 白 学 黑 客   ， 作 者 小 白 来 自 公 众 号 ： 来 自 公 众 号 ： 小 白 学 黑 客 小 白 学 黑 客 神 秘 邮 件 神 秘 邮 件 前 几 天 ， 公 司 H R 在 群 里 发 来 了 一 条 消 息 ， 说 收 到 一 封 非 常 可 疑 的 简 历 邮 件 。 不 枉 公 司 三 令 五 申 的 信 息 安 全 意 识 培 养 ， 咱 们 的 H R 小 姐 姐 能 有 这 样 的 敏 锐 意 识 ， 得 给 她 点 个 赞 ！ 最 近 部 门 确 实 在 进 行 人 员 招 聘 ， 也 进 行 了 大 量 的 招 聘 宣 传 ， 每 天 都 要 收 到 不 少 的 简 历 邮 件 ， 但 这 封 邮 件 却 透 露 着 些 许 古 怪 。 邮 件 的 正 文 没 有 任 何 信 息 ， 只 有 一 个 附 件 ： 简 历 简 历 . p d f 首 先 ， 咱 们 正 常 人 投 个 简 历 ， 怎 么 着 也 会 在 正 文 中 简 单 介 绍 一 下 自 己 吧 ？ 谁 会 像 这 样 直 接 留 白 呢 ？ 其 次 ， 附 件 简 历 的 文 件 名 一 般 都 会 包 含 职 位 、 名 字 等 信 息 吧 ？ 就 像 小 白 小 白 - 安 全 研 发 工 程 师 安 全 研 发 工 程 师 - 个 人 简 个 人 简 历 历 . p d f ， 谁 会 直 接 就 叫 “ 简 历 ” 啊 ？ 沙 箱 分 析 沙 箱 分 析 拿 到 这 个 p d f 文 件 ， 别 急 着 打 开 ， 弄 到 虚 拟 机 沙 箱 中 ， 看 一 下 这 货 能 不 能 现 出 原 形 。 小 白 学 黑 客 小 白 学 黑 客   . 小 白 也 能 看 懂 的 网 络 安 全 教 程
p d f 文 件 打 开 一 切 看 起 来 正 常 ， 确 实 像 是 一 封 真 实 的 简 历 ， 就 连 应 聘 人 的 需 求 都 是 匹 配 的 ， 但 查 证 后 发 现 ， 其 中 的 联 系 方 式 全 都 是 虚 构 的 ， 简 历 内 容 基 本 是 网 络 找 来 东 拼 西 凑 + 虚 构 伪 造 出 来 的 。 再 来 看 一 下 样 本 的 行 为 分 析 ， 看 看 有 没 有 什 么 可 疑 的 行 为 。 我 嘞 个 去 ！ 不 看 不 知 道 ， 这 家 伙 居 然 释 放 了 一 个 程 序 出 来 到 临 时 文 件 夹 ， 然 后 把 它 给 执 行 了 起 来 ！ 去 临 时 文 件 夹 中 试 图 找 到 这 个 文 件 ， 结 果 发 现 文 件 没 了 ：
看 来 这 家 伙 有 点 能 耐 啊 ！ 临 时 写 了 个 脚 本 ， 在 虚 拟 机 后 台 运 行 ， 不 断 检 测 备 份 临 时 文 件 夹 下 的 文 件 。 再 一 次 跑 了 一 下 样 本 文 件 ， 总 算 把 这 个 释 放 出 来 的 e x e 给 逮 住 了 。 逆 向 分 析 逆 向 分 析 接 下 来 送 它 进 反 汇 编 神 器 I D A ， 扒 掉 这 家 伙 的 底 裤 。 打 开 一 看 ， 好 家 伙 ， 我 直 呼 好 家 伙 ！ 也 不 加 个 壳 啥 的 ， 直 接 裸 奔 ， 连 基 本 的 指 令 优 化 都 没 开 ， 这 还 不 给 我 扒 个 底 朝 天 。 很 快 ， 我 发 现 了 一 个 有 意 思 的 地 方 ： 这 货 在 遍 历 文 件 目 录 ， 像 是 在 搜 索 什 么 东 西 。 找 到 文 件 过 滤 的 地 方 ， 这 里 是 一 个 数 组 ， 在 遍 历 寻 找 数 组 中 的 内 容 。
接 下 来 ， 看 一 下 过 滤 的 字 符 串 ， 高 能 来 了 ！ ！ ！ 居 然 在 找 简 历 简 历 、 o f f e r 、 工 程 师 工 程 师 关 键 字 的 文 件 ！ ！ ！ 这 是 什 么 骚 操 作 ？ 后 面 还 有 一 段 逻 辑 ， 是 检 测 文 件 的 M D 5 ， 防 止 把 自 己 人 “ 简 历 . p d f ” 当 做 了 目 标 。 拿 到 文 件 后 呢 ， 接 着 追 溯 起 来 ， 代 码 找 起 来 太 慢 了 ， 还 是 放 沙 箱 里 面 抓 行 为 吧 。 把 这 个 e x e 再 一 次 送 进 沙 箱 分 析 ， 来 看 一 下 网 络 请 求 。 遗 憾 的 是 ， 并 没 有 发 现 有 网 络 请 求 ， 猜 测 是 没 有 拿 到 目 标 文 件 所 以 没 有 传 送 ？ 于 是 我 又 构 造 了 一 个 假 的 J a v a 研 发 工 程 师 研 发 工 程 师 . p d f 文 件 ， 来 钓 钓 鱼 。 再 来 一 次 ， 果 不 其 然 ， 鱼 儿 上 钩 了 ， 这 一 次 抓 到 了 一 个 网 络 请 求 ： 一 个 神 秘 的 域 名 D N S 解 析 ！ 限 于 沙 箱 的 隔 离 环 境 ， 这 个 请 求 实 际 上 并 没 有 成 功 ， 所 以 也 就 没 有 后 续 对 这 个 域 名 的 请 求 了 。 遗 憾 的 是 ， 这 个 域 名 现 在 已 经 关 闭 了 ， 没 法 访 问 ， 难 道 是 别 人 先 一 步 发 现 了 吗 ？
复 盘 复 盘 案 情 的 全 貌 浮 出 了 水 面 ： H R 的 邮 箱 收 到 了 一 个 藏 有 木 马 的 《 简 历 . p d f 》 文 件 ， 文 件 打 开 后 会 释 放 并 执 行 一 个 木 马 程 序 x x x . e x e （ 随 机 名 ） 。 接 着 木 马 会 遍 历 磁 盘 目 录 ， 寻 找 文 件 名 中 包 含 、 、 三 个 关 键 字 的 文 件 。 拿 到 文 件 后 ， 会 通 过 网 络 请 求 将 拿 到 的 文 件 发 送 出 去 ！ 究 竟 是 谁 会 做 这 样 的 事 ？ 细 思 恐 极 ！ 推 荐 推 荐 ↓ ↓ ↓ 黑 客 技 术 与 网 络 安 全 黑 客 技 术 与 网 络 安 全 简 历 o f f e r 工 程 师
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理