釣魚攻擊是一種高度隱蔽且極具欺騙性的網絡威脅，攻擊者通過偽裝成銀行、保險公司、稅務機構或其他可信機構的官方文件，誘導受害者點擊下載惡意文件。而在生活和工作中，電子文檔作為常用工具，可能也不會讓我們“心生防備”。因此電子文檔可以成為網絡釣魚攻擊的常用媒介，攻擊者可以通過表象的“電子文檔”來掩蓋快捷方式和隱藏文件夾實際的惡意行為，并且電子文檔的復雜性和靈活性也導致惡意代碼潛藏很深，難以被普通用戶察覺，令個人和企業(yè)面臨財務損失和數據泄露的風險。
近期，火絨威脅情報中心檢測到惡意釣魚PDF樣本攻擊量增多，且個別樣本通過偽裝成快捷方式和隱藏文件夾的方式進行傳播。經火絨工程師分析，該木馬程序采用雙重攻擊機制：一方面通過VBS腳本執(zhí)行Python加載器，另一方面利用“白加黑”技術執(zhí)行惡意文件，最終部署Cobalt Strike遠控后門。建議日?？梢酝ㄟ^關注可疑的發(fā)件人地址、不尋常的鏈接或過于緊急的要求來規(guī)避此風險。同時技術防護手段也不可或缺，如安裝可靠的安全軟件，對郵件和文件進行實時掃描和檢測，監(jiān)控異常的網絡行為。目前，火絨安全產品已具備對該類惡意釣魚PDF樣本的精準識別與攔截能力，能夠有效保障用戶系統(tǒng)安全。為了進一步增強系統(tǒng)防護能力，火絨安全建議廣大用戶及時更新病毒庫。這將確保您的系統(tǒng)能夠抵御最新威脅，防范潛在安全風險。
查殺圖
樣本執(zhí)行流程圖如下：
流程圖
樣本分析
該樣本的初始傳播載體是一個壓縮包文件，其中包含被設置為受系統(tǒng)保護的隱藏文件夾（+s +h），能夠利用快捷方式文件和隱藏的文件夾進行惡意釣魚攻擊。
木馬快捷方式利用
默認隱藏受保護文件
顯示木馬文件夾
執(zhí)行惡意腳本
調用Python加載Shellcode：首先，此腳本利用系統(tǒng)內的Python環(huán)境執(zhí)行Python Loader。隨后，利用Python Loader加載并執(zhí)行一段Shellcode。該Shellcode用于實現后續(xù)操作中木馬程序的下載與執(zhí)行。 利用默認程序打開PDF：為了掩蓋其惡意行為，此腳本會調用默認程序打開樣本文件中的PDF文件，誘導用戶認為當前操作處于正常狀態(tài)。 啟動白加黑木馬：接著，此腳本進一步執(zhí)行“白加黑”木馬（即VMwareXferlogs.exe文件）。隨后，該木馬利用合法程序加載惡意DLL，以繞過安全軟件的檢測。
libmultiprocessing.vbs腳本
Python程序打包
內存加載惡意代碼
解密惡意代碼
修復PE
BOF API
反射內存加載
后門分析
時間判斷
設置加密算法
獲取系統(tǒng)信息
數據加密
字符解密算法
解密配置信息
任務處理
任務號與對應功能
獲取進程列表
創(chuàng)建管道CMD執(zhí)行命令
