近期，火絨威脅情報中心監(jiān)測到一個名為“企業(yè)智能化服務(wù)平臺” 網(wǎng)頁上托管的文件存在惡意行為，火絨安全工程師第一時間提取樣本進行分析。分析中發(fā)現(xiàn)樣本為易語言編寫的成熟后門，能根據(jù) C2 指令實現(xiàn)對受害者機器的完全控制。除此之外，它還會檢測受害者機器中殺軟的安裝情況進行對抗，上傳受害者系統(tǒng)中相關(guān)信息，并設(shè)立開機啟動項進行持久化駐留等。目前，火絨安全產(chǎn)品可對上述病毒進行攔截查殺，請廣大用戶及時更新病毒庫以提高防御能力。
觀察到樣本來源頁面如下圖所示。打開該網(wǎng)頁后會自動下載一個名為 "合同.rar" 的文件到本地。解壓運行該文件后，會從內(nèi)存中解密多個子文件進行加載和釋放，最終運行易語言遠控代碼，實現(xiàn)對受害者機器的完全訪問控制。此外，根據(jù)火絨威脅情報系統(tǒng)顯示，該后門還會偽裝成其它商業(yè)文件進行傳播，觀察到的其偽裝的文件名有 “supe-告知函.exe”、“電子合同.xls” 等。
網(wǎng)頁界面
樣本執(zhí)行流程如下所示：
樣本執(zhí)行流程圖
易語言入口點
“合同.exe” 執(zhí)行時，會先檢查 “tomcat.exe” 進程是否存在?！皌omcat.exe” 進程實際上是下一階段惡意代碼的執(zhí)行文件。如果存在，則直接結(jié)束該進程：
檢查 tomcat.exe 進程
檢測 360tray.exe 并釋放 payload
密文對應(yīng)的殺軟列表
但當(dāng)殺軟數(shù)量不止一個時，“合同.exe” 程序則會進一步執(zhí)行驅(qū)動對抗操作。該程序首先會獲取本地網(wǎng)絡(luò)適配器信息以禁用無線網(wǎng)卡：
獲取網(wǎng)絡(luò)適配器信息
接著檢查 "ZhuDongfangYu.exe" 進程是否存在。如果存在，則解密并釋放 "C:\g.sys"、"C:\y.sys"、"C:\all.exe" 3 個文件運行以進行驅(qū)動對抗操作，然后繼續(xù)釋放并執(zhí)行下一階段 payload：
驅(qū)動對抗操作
其中，釋放文件中的"all.exe" 程序，根據(jù)字符串信息可以確認其來自于開源項目 RealBlindingEDR（https://github.com/myzxcg/RealBlindingEDR），該開源項目以分享對抗 AV/EDR 的技術(shù)為主。此外，文件中的 "g.sys" 和 "y.sys" 也是該項目相關(guān)文件，在此不做詳細分析：
all.exe 界面信息
RealBlindingEDR 項目截圖
釋放 conf.ini
conf.ini 內(nèi)容展示
接著解密出另一個可執(zhí)行文件 "tomcat.exe"，第一次解密得到的字節(jié)碼還要通過內(nèi)存遍歷，用指定的密文替換 tomcat.exe 中作為占位符的 "kkk" 字符串：（根據(jù)后面的分析可知，該指定密文為要連接的 C2 IP）
解密字節(jié)碼并替換
替換內(nèi)容
最后啟動 "tomcat.exe" 進程，開啟下一階段操作：
啟動 "tomcat.exe" 進程
釋放文件列表
該程序會在前期初始化階段解密出 E_Loader.dll 和 HP-Socket 等 dll 用于內(nèi)部加載以實現(xiàn)第三方功能。根據(jù) HP-Socket 官網(wǎng)介紹，其中的 HP-Socket 為高性能網(wǎng)絡(luò)通信框架，同時它為易語言的編程語言提供接口。
獲取殺軟列表
進程遍歷
C&C：
HASH：
