专栏名称: 黑客技术和网络安全

黑客技术与网络安全，黑客程序员社区，网络安全社区，黑客技术教程、黑客技术视频、黑客技术书籍、黑客技术分享等，网络安全分享、网络安全书籍、网络安全视频、网络安全教程。

警惕！伪装成Windows 10 激活工具的远程木马正在恶意活动

黑客技术和网络安全 · 公众号 · · 2022-03-29 19:00

正文

👇👇 关注后回复 “进群” ，拉你进程序员交流群 👇👇

文章来源丨E安全

近日，研究人员发现了一项新的分发 BitRAT 软件的恶意活动。BitRAT 是一种强大的远程访问木马，在网络犯罪论坛和暗网市场上以低至 20 美元的价格出售给网络犯罪分子。在最新的 BitRAT 恶意软件分发活动中，攻击者将恶意软件作为 Windows 10 Pro 许可证激活器分发到网络硬盘上。研究人员根据代码片段中的韩语字符及其分发方式推测，新的 BitRAT 活动的攻击者疑似是韩国人。

ASEC分析团队发现的通过网络硬盘分发的BitRAT。由于攻击者从开发阶段就将恶意软件伪装成Windows 10许可证验证工具，因此从webhard下载非法破解工具并安装它，以验证Windows许可证的用户存在将BitRAT安装到其PC中的风险。

下面显示了一篇上传到webhard的帖子，其中包含恶意软件。标题是 [新的][快速安装]Windows许可证验证[一键式]。

图1. 伪装成下载Windows许可证验证工具的帖子

下载名为“Program.zip”的压缩文件，并使用密码“1234”进行压缩和锁定。它包含一个名为“W10DigitalActivation.exe”的Windows 10许可证验证工具。

图2. 压缩文件中包含的文件

“W10DigitalActivation.exe”是一个7z SFX文件，带有一个名为“W10DigitalActivation.msi”的实际验证工具和名为“W10DigitalActivation_Temp.msi”的恶意软件。当用户双击该文件时，它会同时安装这两个文件。由于恶意软件和验证工具同时运行，用户被欺骗认为该工具运行正常，如下所示。

图3. 7z SFX文件中的恶意软件

与名称不同，“W10DigitalActivation_Temp.msi”是一个带有exe扩展名的下载器，可以下载其他恶意软件。运行时，它会连接到其内部的C&C服务器，交换加密字符串。之后，它对字符串进行解密，最终获得额外有效载荷的下载网址。

图4. 下载器恶意软件的C&C网址

下载程序将恶意软件安装到Windows的启动程序文件夹中并自行删除。通常，第一个安装的文件是同类型的下载器，以这种方式运行的下载程序最终会将BitRAT作为“Software_Reporter_Tool.exe”安装到路径%TEMP%中。

图5. 下载下载器和BitRAT

值得注意的是，此下载器配备了附加功能，无论如何都不是一个简单的程序。如下图所示，它的功能之一是使用powershell命令添加Windows启动程序文件夹——下载器将安装在该文件夹中——作为Windows Defender的排除路径，并将BitRAT进程名称“Software_Reporter_Tool.exe”添加为Windows Defender的排除进程。