查殺圖
GitHub投毒事件及潛在風(fēng)險
盡管此類攻擊看似主要針對開發(fā)者，但其潛在影響卻遠(yuǎn)不止于此，甚至可能波及每一位普通用戶。以下將詳細(xì)介紹此類攻擊的運作方式及其可能帶來的風(fēng)險，希望廣大用戶在了解后能夠進一步提升終端安全防護意識。
*攻擊的起點——開發(fā)者
一個被篡改的開源庫可能被集成到多個軟件項目中。由于開源庫的廣泛使用和高度共享性，這種篡改行為很容易在軟件開發(fā)過程中傳播開來。
這些軟件項目最終會發(fā)布到應(yīng)用商店，或者通過更新機制推送到用戶的設(shè)備上。在這個過程中，惡意代碼可能會隨著軟件的分發(fā)而擴散到用戶手中。
隱私泄露：惡意代碼可能會竊取個人信息，如賬號密碼、瀏覽器Cookies等。
遠(yuǎn)程控制：攻擊者可能通過遠(yuǎn)程訪問工具控制設(shè)備，甚至監(jiān)控使用者的一舉一動。
經(jīng)濟損失：竊取的信息可能被用于欺詐或勒索，導(dǎo)致使用者遭受財產(chǎn)損失。
數(shù)據(jù)勒索：惡意代碼可能導(dǎo)致設(shè)備運行緩慢、頻繁崩潰，以及加密數(shù)據(jù)以勒索設(shè)備擁有者。
樣本分析
執(zhí)行流程圖
2.1 樣本信息
2.2 Loader動靜態(tài)分析
測試執(zhí)行calc
配置文件
惡意命令
Base64加密
解密
解密VBS腳本
多層遞歸調(diào)用與Base64解碼：腳本通過多層遞歸調(diào)用和Base64解碼技術(shù)，逐步解析出隱藏的下載地址，確保其隱蔽性。
下載7z解壓工具：腳本從指定地址下載7z解壓工具，并將其保存到C:\ProgramData\sevenZip目錄中。
執(zhí)行SearchFilter.exe：在下載并解壓相關(guān)文件后，腳本會執(zhí)行SearchFilter.exe，以加載后續(xù)的惡意功能。
清理痕跡：腳本會在執(zhí)行完成后刪除下載的壓縮包文件。
下載7z
下載執(zhí)行惡意程序
下載鏈接： https://github.com/Fxkw45/delhi-metro/releases/download/metro/SearchFilter.7z
該鏈接指向托管在GitHub上的惡意壓縮包SearchFilter.7z。
解壓密碼： hR3^&b2%A9!gK*6LqP7t$NpW
該密碼用于解壓下載的SearchFilter.7z文件，以釋放其中的惡意內(nèi)容。
解密鏈接與解壓密碼
GitHub鏈接
Electron程序
AST（抽象語法樹）分析：
通過構(gòu)建JavaScript代碼的抽象語法樹（AST），對代碼結(jié)構(gòu)進行解析和重構(gòu)，以識別混淆邏輯并還原原始代碼。 定位最長數(shù)組：
在混淆代碼中，通常會將字符串、函數(shù)名等關(guān)鍵信息存儲在數(shù)組中，并通過索引調(diào)用。通過分析代碼中最長的數(shù)組，可以定位到關(guān)鍵的解密邏輯。 引用追蹤與解密器定位：
通過追蹤最長數(shù)組的引用關(guān)系，找到解密器的核心邏輯。解密器通常用于動態(tài)還原被混淆的字符串或函數(shù)，從而恢復(fù)代碼的可讀性。 逐步解混淆：
在定位解密器后，逐步還原被混淆的代碼邏輯，包括字符串解密、函數(shù)調(diào)用還原以及控制流扁平化的修復(fù)，最終恢復(fù)出可讀的JavaScript代碼。
去除JavaScript混淆
去混淆代碼
檢測虛擬機
反調(diào)試
調(diào)試工具：
watcher.exe ProcessHacker.exe SystemInformer.exe procexp.exe（Process Explorer） 網(wǎng)絡(luò)分析工具：
HttpAnalyzerStdV7.exe mitmdump.exe mitmproxy.exe mitmweb.exe Charles.exe Fiddler.exe Fiddler Everywhere.exe Fiddler.WebUi.exe HTTPDebuggerUI.exe HTTPDebuggerSvc.exe HTTPDebuggerPro.exe Progress Telerik Fiddler Web Debugger.exe HTTP Debugger Pro.exe Wireshark.exe API 測試工具：
Postman.exe Insomnia.exe HTTP Toolkit.exe 安全工具：
BurpSuiteCommunity.exe（Burp Suite Community Edition） 文件監(jiān)控工具：
FolderChangesView.exe
結(jié)束進程
修改Windows Defender排除項：將整個C盤添加到Windows Defender的排除列表中，使Defender無法掃描和檢測C盤中的惡意文件。
禁用系統(tǒng)還原功能：關(guān)閉系統(tǒng)還原功能，阻止用戶通過系統(tǒng)還原點恢復(fù)系統(tǒng)。
刪除卷影副本：清除所有卷影副本（Shadow Copy），徹底刪除系統(tǒng)備份，使用戶無法通過備份恢復(fù)數(shù)據(jù)。
添加Defender排除項
GitHub下載鏈接：
https://github.com/nguyendeptrai2004/ARFramework/releases/download/Muck/BitDefender.7z
解壓密碼：
SaToshi780189.!
下載惡意文件主體
GitHub鏈接
解壓文件
隱藏文件夾
添加計劃任務(wù)
2.3 lumma stealer
解壓出來的NVIDIA Control Panel.exe負(fù)責(zé)執(zhí)行l(wèi)umma stealer功能，該樣本同樣是一個Electron程序。對其進行分析，其采用API竊取以下信息。
Cookie
Reddit instagram tiktok spotify Netflix GitHub Roblox Email ChatGPT Valorant 無畏契約 SQLite數(shù)據(jù)庫 獲取OpenVPN信息
獲取Electronic Arts配置信息
獲取聊天軟件信息
Discord Telegram 獲取游戲信息
EpicGamesLauncher RiotGames Steam
竊取Cookie
2.4 后門分析
進程注入：
該樣本通過進程注入技術(shù)實現(xiàn)其惡意功能，具體利用以下合法程序作為注入目標(biāo)。 RegAsm.exe：.NET程序集注冊工具，被用于加載惡意代碼。 DWWIN.exe：Windows錯誤報告工具，被用于隱藏惡意行為。 多次注入：
樣本通過多次注入的方式，將惡意代碼加載到不同的進程中，以規(guī)避檢測并實現(xiàn)持久化。 C2功能：
注入成功后，樣本與遠(yuǎn)程C2服務(wù)器建立通信，接收攻擊者指令，執(zhí)行包括遠(yuǎn)程控制、數(shù)據(jù)竊取、文件操作等惡意行為。
AES加鹽解密
解密算法
解密腳本
boot和Kernel：這兩個模塊是AsyncRAT的后門，AsyncRAT是一種開源的遠(yuǎn)程訪問工具（RAT），通過安全加密連接實現(xiàn)遠(yuǎn)程監(jiān)控和控制。
thread：該模塊用于監(jiān)聽、替換和上傳剪貼板信息。
magnify：該模塊是Quasar的后門，Quasar是一款使用C#編寫的快速、輕量級的遠(yuǎn)程管理工具，開源。
cryptwizard：該模塊是Remcos的后門，Remcos是一種遠(yuǎn)程訪問木馬工具，未開源。
boot_f和Kernel_f：這兩個模塊是AsyncRAT的shellcode版本，通過內(nèi)存加載的方式執(zhí)行惡意代碼。
thread_f：該模塊是剪貼板盜竊程序的shellcode版本，同樣通過內(nèi)存加載的方式執(zhí)行惡意代碼。
后門模塊對應(yīng)表
后門模塊文件
詳細(xì)分析：
注入代碼
內(nèi)存解密出PE
注入進程
AsyncRAT
Quasar
剪貼板匹配替換上傳程序
Remcos
AsyncRAT對比
AsyncRAT版本
后門地址
功能圖
主窗口
Quasar對比
Quasar功能圖
匹配并替換剪貼板信息
錢包地址
Token: 6843479607:AAEGHeu36k4i1nGBZNGGNgLCPWatnPKKRnY
ChatID: -1002052131842
Telegram Bot Token
頻道信息
Remcos信息
Remcos功能圖
功能函數(shù)
附錄
C&C：
