近期，火絨威脅情報(bào)中心監(jiān)測(cè)到偽裝成有道翻譯安裝包的樣本存在惡意行為，火絨安全工程師第一時(shí)間提取樣本進(jìn)行分析。分析中發(fā)現(xiàn)該樣本使用白加黑、反射加載 DLL 進(jìn)行免殺，最終下載后門(mén)代碼實(shí)現(xiàn)對(duì)受害者主機(jī)的控制。同時(shí)，它還會(huì)繞過(guò) UAC 實(shí)現(xiàn)無(wú)彈窗執(zhí)行，并存在創(chuàng)建服務(wù)設(shè)置自啟動(dòng)進(jìn)行持久化駐留等行為。目前，火絨安全產(chǎn)品可對(duì)上述病毒進(jìn)行攔截查殺，請(qǐng)廣大用戶及時(shí)更新病毒庫(kù)以提高防御能力。
火絨查殺圖
根據(jù)文件屬性可以看出，該樣本沒(méi)有數(shù)字簽名，而真實(shí)安裝包含有數(shù)字簽名：
文件屬性對(duì)比
樣本執(zhí)行流程如下所示：
詳情請(qǐng)見(jiàn)：https://mp.weixin.qq.com/s/ZsZx2e9mN4jcfNBebrqW0w
