搜索

[28245] 2020-04-09_分析：Excel4.0宏表上的可疑“非常隐藏”公式

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-19
2020-04-09_分析：Excel4.0宏表上的可疑“非常隐藏”公式 分 析 ： E x c e l   4 . 0 宏 表 上 的 可 疑 “ 非 常 隐 藏 ” 公 式 原 创   趋 势 科 技   O t s 安 全   2 0 2 0 - 0 4 - 0 9 客 户 提 交 了 带 有 设 置 为 “ 非 常 隐 藏 ” 的 可 疑 公 式 的 恶 意 M i c r o s o f t   E x c e l   4 . 0 宏 表 ， 并 由 趋 势 科 技 研 究 人 员 进 行 了 进 一 步 分 析 。 由 于 M i c r o s o f t 网 站 中 记 录 的 功 能 允 许 用 户 隐 藏 工 作 表 ， 因 此 无 法 通 过 M i c r o s o f t   E x c e l 用 户 界 面 （ U I ） 轻 松 访 问 工 作 表 。 受 感 染 的 文 件 通 常 用 作 垃 圾 邮 件 的 附 件 。 打 开 文 件 后 ， 它 将 显 示 一 条 消 息 ， 要 求 用 户 单 击 “ 启 用 编 辑 ” 按 钮 ， 然 后 单 击 “ 启 用 内 容 ” 按 钮 。 单 击 这 些 的 用 户 不 经 意 间 启 用 了 宏 。 图 1 . 提 示 启 用 编 辑 和 启 用 内 容 研 究 人 员 通 过 打 开 V i s u a l   B a s i c 编 辑 器 检 查 宏 的 存 在 。 启 动 后 ， 发 现 不 存 在 宏 。 我 们 使 用 内 部 工 具 来 分 析 O L E 2 文 件 ， 进 一 步 检 查 了 文 件 结 构 。 通 过 此 操 作 ， 我 们 发 现 了 一 个 名 为 “   G 5 U 1 D 5 z E i s ” 的 宏 表 ， 该 宏 表 被 设 置 为 “ 非 常 隐 藏 ” 。 文 档 设 置 意 味 着 无 法 通 过 E x c e l   U I 以 任 何 方 式 方 便 地 访 问 工 作 表 ， 因 为 它 在 用 户 工 作 表 列 表 中 不 可 见 ， 并 且 除 非 使 用 其 他 工 具 ， 否 则 无 法 将 其 隐 藏 。 图 2 . 显 示 “ 非 常 隐 藏 ” 状 态 我 们 修 改 了 文 件 以 取 消 隐 藏 工 作 表 。 这 揭 示 了 文 件 的 内 容 。
图 3 . 模 糊 的 宏 工 作 表 内 容 内 容 通 过 去 模 糊 处 理 显 示 ， 表 明 宏 表 具 有 在 打 开 文 档 时 将 运 行 的 公 式 。 它 还 称 为 U R L   h x x p s ： / /   g r p x m q n r b   [ 。 ]   p w   / e h r j 4 g 9 g 。 图 4 . 模 糊 化 的 宏 工 作 表 内 容 该 U R L 仅 在 最 近 才 创 建 ， 与 针 对 英 特 尔 4 7 1 的 类 似 性 质 的 有 记 录 的 未 遂 攻 击 中 使 用 的 U R L 相 同 。 以 下 是 在 V i r u s T o t a l 中 找 到 的 相 关 U R L   ：   h x x p ： / /   g r p x m q n r b   [ 。 ]   p w   / h x x p s ： / /   g r p x m q n r b   [ 。 ]   p w   / h x x p   / /   g r p x m q n r b   [ 。 ]   p w   /   e g r g 4 g 3 g h x x p s   / /   g r p x m q n r b   [ 。 ]   p w   /   e g r g 4 g 3 g h x x p ： / /   g r p x m q n r b   [ 。 ]   p w   /   e h r j 4 g 9 g h x x p s ： / /   g r p x m q n r b   [ 。 ]   p w   /   e h r j 4 g 9 6 此 外 ， 与 此 U R L 通 信 的 E x c e l 文 件 （ 也 在 V i r u s T o t a l 中 找 到 ） 使 用 相 同 的 文 件 名 结 构 。 其 中 一 些 文 档 是 垃 圾 邮 件 的 附 件 ： 1 5 8 5 0 5 9 7 8 1 - 0 e e 5 a 9 4 4 b 4 d 8 d c 8 0 0 0 1 - 2 9 H 5 d r . e m l （ 电 子 邮 件 文 件 ） 9 d f 9 4 7 a 7 2 e 4 7 6 7 6 3 8 3 d 6 4 8 8 5 8 e e 0 6 3 c 7 0 3 a 8 f 4 5 5 4 5 4 f 1 c 6 d f 8 2 7 2 a 5 6 4 a 3 4 5 6 b 5 信 息 1 2 2 0 7 7 . x l s I n f o 1 8 0 . x l s 信 息 4 0 7 7 5 9 . x l s I n f o _ 5 0 9 3 0 . x l s 资 讯 5 2 0 5 1 3 . x l s i n f o . 5 7 0 7 8 . x l s I n f o _ 6 4 4 2 2 . x l s 通 知 1 1 1 1 . x l s U R L   h x x p s ： / /   g r p x m q n r b   [ 。 ]   p w   /   e h r j 4 g 9 g 将 重 定 向 到 h x x p s ： / /   g i t h u b   [ 。 ]   c o m   /   a r n t s o n l   /   c a l c _ s e c u r i t y _ p o c   /   r a w   /   m a s t e r   /   d l l   / c a l c . d l l 。 要 下 载 的 文 件 仅 执 行 W i n d o w s 计 算 器 c a l c . e x e 。 因 此 ， 似 乎 收 到 了 诱 饵 有 效 载 荷 。 但 是 ， 即 使 U R L 现 在 无 法 解 析 并 重 定 向 到 任 何 地 址 ， 它 仍 然 有 可 能 使 用 不 同 的 重 定 向 和 有 效 负 载 再 次 启 动 。
图 5 . 下 载 文 件 以 执 行 c a l c . e x e 撰 写 本 文 时 ， U R L 已 关 闭 。 U R L 结 构 ， 使 用 的 技 术 和 宏 代 码 类 似 于 将 Z l o a d e r 作 为 有 效 载 荷 交 付 的 活 动 的 U R L 结 构 ， 技 术 和 宏 代 码 。 防 御 恶 意 文 件 防 御 恶 意 文 件 威 胁 参 与 者 继 续 隐 藏 在 看 似 无 害 的 文 件 中 的 恶 意 代 码 ， 同 时 定 期 利 用 新 文 件 类 型 。 这 些 文 件 通 常 使 用 社 交 工 程 技 术 通 过 垃 圾 邮 件 进 行 传 播 ， 例 如 引 用 诸 如 冠 状 病 毒 （ C O V I D - 1 9 ） 爆 发 等 时 事 事 件 ， 以 引 起 收 件 人 的 注 意 并 促 使 他 们 下 载 附 件 。 有 些 甚 至 伪 装 成 合 法 的 ， 备 受 瞩 目 的 组 织 ， 以 赢 得 接 收 者 的 信 任 。 为 避 免 妥 协 ， 用 户 切 勿 下 载 附 件 或 单 击 来 自 不 受 信 任 来 源 的 电 子 邮 件 中 的 链 接 。 对 于 看 似 由 官 方 组 织 发 送 的 电 子 邮 件 ， 使 用 者 应 向 该 小 组 的 官 方 网 站 查 询 有 关 该 电 子 邮 件 咨 询 的 新 闻 稿 ， 或 通 过 网 站 上 列 出 的 联 系 方 式 与 他 们 联 系 以 验 证 他 们 是 否 发 送 了 电 子 邮 件 。 用 户 还 应 该 检 查 电 子 邮 件 正 文 中 的 语 法 错 误 和 拼 写 错 误 ， 这 通 常 是 电 子 邮 件 为 垃 圾 邮 件 的 致 命 礼 物 。 利 用 安 全 解 决 方 案 还 可 以 检 测 并 阻 止 恶 意 软 件 通 过 电 子 邮 件 进 入 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理