恶意文件AgentTesla贼心不死,换壳之后卷土重来
恶意家族名称: AgentTesla
威胁类型: 间谍软件
简单描述: 2023 年 2 月 13 日,捕获新型间谍软件。
恶意事件描述
2023 年 2 月13 日,捕获新型间谍软件,此次事件中的恶意程序通过钓鱼邮件传播,当受害者解压邮件附件并执行其中的恶意程序之后,该程序会通过 PowerShell 添加 Defender 扫描白名单并创建计划任务,之后执行窃密操作。
恶意事件分析
通过进程执行链可以发现该样本是通过钓鱼邮件投递,受害者解压之后执行。
该样本是一个 .NET 编写的窃密程序,通过对资源节区的数据进行解密还原出恶意模块,然后使用反射加载的方式执行该模块。
调试发现该恶意模块名为 B4000。入口函数为Melvin.White。跟进函数,首先使用Sleep 休眠了 44s,在对一段硬编码的数据进行base64解码后再解压缩,还原出一个 PE 文件。
同样使用反射加载的方式加载还原出来的 PE,名为 Cruiser,在通过加载模块中的函数从图像中提取出另外一个模块 HIVacSim,同样使用反射加载。找到模块入口函数如下:
进入模块之后会执行一系列恶意操作。
释放文件
从资源节区中释放文件至 C:UsersUserNAmeAppDataRoamingNgsWWESFAPv.exe
,释放的文件与当前文件一致。
创建计划任务
通过schtasks.exe从XML文件中创建计划任务,二进制文件指向 C:UsersUserNameAppDataingRomaingNgsWWSFAPv.exe。
添加Defender白名单
通过 Powershell 添加 Defender 白名单。
创建傀儡进程
创建傀儡进程步骤大致如下:
1. 通过 GetThreadContext 获取线程内容
2. 使用 ReadProcessMemory 读取进程内容
3. 使用 VirtualAllocEx 在傀儡进程中分配空间
4. 使用 WriteProcessMemory 往分配的内存中写入数据,
5. 使用 SetThreadContext 设置执行入口。
6. 使用 ResumeThread 恢复傀儡进程的主线程。
在 SetThreadContext 处下一个断点,找到傀儡进程入口点:
在写完数据并激活傀儡进程之后当前进程就会结束,导出写完数据的傀儡进程继续调试。
信息主机收集
通过 Win32_BaseBoard 获取主板信息,之后获取主机和用户名信息等。
获取公网 IP
收集软件信息
收集多种浏览器信息。
在多个 try catch 中收集特定安装程序的数据:
包括 discord、Claws mail、eM Client、FileZilla、Foxmail、FTP Navigator、WinSCP、RealVNC、MySQL 等程序、以及系统凭证等信息。
发送数据
将收集到的数据进行处理之后通过邮件发送到特定邮箱。
解决方案
处置建议
1. 删除计划任务
2. 取消 Defender 白名单
3. 终结该进程及其子进程并删除对应文件。
from https://www.secpulse.com/archives/197248.html
父母喂给孩子的最后一味药,从来都不是药,而是不放弃的信念我出生在湖南的一个小村庄,那里有山有水,是一个非常美丽的鱼米之乡,童年对于我来说,是苦与乐伴随我成长的。苦是什么呢?我从小体弱多病,在我没有当兵之前,经常生病,特别是14岁以前,什
chatgpt和NEWBING来带娃chatgpt和newbing在很多方面给了我们很大的帮助,那么在带娃这件事上有没有什么说法呢?平常不知道陪小朋友玩什么,给孩子讲点什么,自己编不出来。那么本期尝试的是让AI来帮助
乳糖不耐可以喝羊奶吗?佑硕乳糖酶,延续母爱,为宝宝健康负责!有些乳糖不耐受宝宝可以喝羊奶,有些则不能喝,这与乳糖不耐受的轻重程度有关。首先是可以喝羊奶的情况,此时儿童的乳糖不耐受程度比较轻,在喝羊奶以后没有出现明显的大便次数增多,性状偏稀以
50岁后步入养寿期,若能戒掉4种陋习,轻松活到八九十!衰老是每个人都不想面对的问题,一旦衰老来临,就意味着容貌改变寿命缩短,尤其是五十岁以后,年龄和身体的代谢能力开始呈反比例增长,身体的各项机能也逐渐衰退,各种疾病也开始趁虚而入。这个
你知道吗?有7个生活习惯正在悄悄偷走你身体的钙骨头的健康十分重要,随着年龄增长我们身体骨头的钙会渐渐流失。那要如何降低钙流失的风险呢?今天就来聊聊那7个不良生活习惯,正在偷走你身体里的钙。蛋白质吃少了骨骼里有35都是蛋白质,氨
吃出来的三大癌症,请大家一定要注意!俗话说,病从口入,很多癌症的发生和患者平时的饮食习惯有很大关系,不幸的是,现在患者虽然比之前稍微重视了一些饮食安全,但是在疾病与饮食联系方面的知识还是比较空白,尤其是随着患者生活压
喝了中药迟迟不见效果,这是为什么呢?找了很多医生吃了很多药,反而没效果,这是为什么呢?年轻的时候经常熬夜喝酒。导致脾胃虚弱,消化功能下降,消化慢,身体得不到营养,小毛病多。面色苍白,面部消瘦。从舌象来看,舌苔厚而白腻
在春天怎样预防过敏性鼻炎春季是过敏性鼻炎高发季节,以下是一些预防过敏性鼻炎的建议1。保持室内空气清洁定期清洁家居,如地毯窗帘等,避免积聚灰尘和宠物毛发等过敏原。2。保持室内湿度适宜使用加湿器保持室内湿度在
甲状腺乳头状癌术后我们该怎么吃?在甲状腺乳头状癌术后,很多患者及家属都可能会问的一个问题是我们能吃什么,有没有什么饮食禁忌?这个问题其实不难解答。首先我们需要知道甲状腺乳头状癌绝大多数是治疗效果很好的恶性肿瘤,目
40岁年龄60岁血管,学会这3招,让血管老得慢一点说到衰老,很多人第一反应就是面部衰老,面部皮肤松弛下垂长出皱纹等等,这虽然是衰老的典型表现,但是除了要关注外表衰老以外,还要关注血管老化问题。血管的重要性自然不言而喻,通过血管将血
16小时禁食法人体的自我净化与减肥功效随着人们对健康和健康饮食的认识不断提高,16小时禁食法越来越受欢迎,它是间歇性断食(IntermittentFasting,IF)的一种类别,这种饮食方法旨在将每天的饮食时间限制在