【恶意文件】钓鱼邮件传播远控木马进行地域性攻击

在两条感染链中，攻击者均采用对lnk文件赋值特殊“目标”的方式，将终端命令写入其中，当受害者点击后将自动执行预制恶意命令，完成感染链攻击。

感染链一

该感染链存在两种诱饵文档，分别是PDF与Word，二者的攻击命令与执行流程基本一致。

受害者点击恶意lnk文件后，将自动释放诱饵文档、恶意JS文件、脚本文件、恶意DLL文件以及SugarGh0st的加密载荷到临时目录Temp下，随后将C:\Windows\SysWow64\rundll32.exe文件复制到Temp目录中，再运行复制而来的rundll32.exe加载指定恶意DLL程序，并将加密载荷加载至内存空间完成解密，最终成功执行远控木马SugarGhost。

恶意lnk文件

解压后，将释放一个使用PDF / Word图标迷惑用户的lnk文件，该lnk文件在“目标”中包含一系列终端命令，当用户双击后可自动执行后续攻击。下图为PDF与Word诱饵展示：

整体命令如下所示：

该命令大致含义是在指定目录下寻找符合条件的lnk文件，并将特殊字符串输出到指定js文件，并通过cscript赋予指定参数运行。

恶意JS文件

恶意JS文件受到严重混淆，将攻击组件base64编码后嵌入其中。

运行恶意JS文件后，首先对嵌入的攻击组件解码，并释放到Temp目录中，其中包括bat脚本文件、恶意DLL文件以及加密载荷，随后将当前主机中C:\Windows\SysWow64\rundll32.exe复制到Temp目录下，并自动打开PDF / Word迷惑用户。

PDF内容如下：

Word内容如下：

随后自动执行bat脚本，通过Temp目录下的rundll32.exe反射加载恶意DLL文件。

恶意DLL文件

恶意DLL文件在被加载后，首先对文件本身进行解密，随后读取释放在Temp目录下的DPLAY.LIB加载至内存并解密。

经过一系列解密后，最终可在内存中执行最终的远控木马SugarGh0st。

感染链二

受害者点击恶意lnk文件后，将自动提取恶意JS文件并运行，随后由恶意JS文件释放诱饵文档、恶意的DLL DynamicWrapperX（libeay32.dll）以及SugarGh0st的加密载荷（libeay32.lib）至临时目录Temp，随后将C:\Windows\SysWow64\wscript.exe文件复制到Temp目录中，并重命名为dllhost.exe，再加载libeay32.dll，最后将SugarGhost载荷加载至内存空间完成解密，最终成功执行远控木马SugarGhost。

下图为整体进程链：

恶意lnk文件

与感染链一一致，感染链二具有相同特质的lnk文件，下图为恶意lnk文件与命令展示：

该命令与感染链一含义一致，均对js给予指定参数启动。

恶意JS文件

该感染链中的JS文件同样被严重混淆。在JS被运行后，会释放一个SugatGh0st的加密载荷（libeay32.lib），一个名为libeay32的DLL文件以及诱饵文档。

诱饵文档如下所示：

释放完毕之后，将SysWow64目录下的Wscript.exe复制到Temp目录下并重命名为dllhost.exe，并使用该解释器再次执行已被删除的恶意JS文件，并在注册表中完成持久化操作。

恶意DLL文件

文件“libeay32.dll”原是一款名为DynamicWrapperX工具，该工具是一个ActiveX组件，可在脚本（JScript、VBScript等）中调用Windows API函数。攻击者可利用这一特性通过恶意JS文件运行其中的Shellcode，但必须由regsvr32.exe运行该组件。

DynamicWrapperX通过创建注册表键值，在目标主机中注册成员函数，并注册表com组件。

随后，与感染链一一致，将libeay32.lib加载至libeay32.dll中解密，最后将SugarGh0st在内存中运行。

SugarGh0st

该远控木马作为Gh0st的修改版，拥有键盘记录器、信息窃取、远程命令执行等功能。在本次事件中，释放的样本是一个32位的动态链接库文件，它会在内存中解密，随后自动运行。

在执行初期，SugarGh0st使用硬编码的C2域作为标记，创建一个互斥锁。

开辟一个新线程以启动键盘记录器，在指定目录下生成数据文件，将记录下的内容放入其中，随后进入一个永真循环，不断读取当前键盘数据。

上线后，每隔10秒对C2进行一次连接，并发送相关信息，如计算机名称、操作系统版本、驱动器信息、特殊注册表项值、Windows版本号等。

SugarGh0st可以获取各类信息，并通过访问服务的配置文件以管理目标主机的服务，如启动、删除、终止等。

SugarGh0st可以通过攻击者发送的命令从而实现各种远控行为。如权限提升、获取目标主机的屏幕截图，访问目标主机的摄像头数据，并将此类信息传输给攻击者等。除此之外，SugarGh0st还可以执行各类文件操作，如复制、移动、删除等。

下表为SugarGh0st所有命令：

27CE72F35709EC9898C57F1C4EA7324E – RAR

996580C90C5EFE2A727D22A77B7E69EB – Lnk

ECF6BFFDC0358525BC2AB7DD7EED6B9E – JS

EAC72DFF542F3465320F1EF235754832 – bat

77AFBB6A6B85EECAAD65D15E066476EC – DLL

F4B1528911B6CCE7ABBA58D87C3C2C10 – Encrypted SugarGh0st Payload

F86F4204B915222382B7F528982E3808 – Decoy Document (PDF)

E0CD08754753BD540BCDF62FA1733BFF – RAR

CFE4A2FC19B77DEA154C106918DCC1A3 – Lnk

7FB78E726F98AB58780373CCE18BABD5 – JS

6715516DCD9C1EEB252AD7370EA5777E – Decoy Document (Word)

782B8A96D3F80DD562B538AF12233CC3 – RAR

8DEA867B72374FAD43CC301D9AF5A24B – Lnk

81E07BC18419DD34F4137E716E936A54 – JS

E0B8DFD17B8E7DE760B273D18E58B142 – DLL

09DE5D9B53439C38676E83CF41B5FA8B – Encrypted SugarGh0st Payload

177C38A8D0781D4ED1331BE551D0C297 – Decoy Document (Word)

1. 避免将重要服务在外网开放，若一定要开放，需增加口令复杂度，避免使用弱口令。

2. 避免打开可疑或来历不明的邮件，尤其是其中的链接和附件等，如一定要打开未知文件，请先使用杀毒软件进行扫描。

3. 安装信誉良好的防病毒/反间谍软件，定期进行系统全盘扫描，并删除检测到的威胁，按时升级打补丁。

4. 查看Temp目录是否存在文章中出现的文件，查看进程是否有Temp目录下的rundll32.exe或dllhost.exe，若有可结束进程并删除文件。

【深信服终端检测响应平台aES】已支持查杀拦截此次事件使用的病毒文件，请更新软件（如有定制请先咨询售后再更新版本）和病毒库至最新版本，并接入深信服安全云脑，及时查杀新威胁；

【深信服下一代防火墙AF】的安全防护规则更新至最新版本，接入深信服安全云脑，“云鉴” 服务即可轻松抵御此高危风险。

【深信服安全感知管理平台SIP】建议用户及时更新规则库，接入深信服安全云脑，并联动【深信服下一代防火墙AF】实现对高危风险的入侵防护。

【深信服安全托管服务MSS】以保障用户网络安全“持续有效”为目标，通过将用户安全设备接入安全运营中心，依托于XDR安全能力平台和MSSP安全服务平台实现有效协同的“人机共智”模式，围绕资产、脆弱性、威胁、事件四个要素为用户提供7*24H的安全运营服务，快速扩展持续有效的安全运营能力，保障可承诺的风险管控效果。