蓝盟IT外包聊聊:一次垃圾邮件病毒的分析过程
yuyutoo 2024-10-22 18:36 1 浏览 0 评论
快下班的时候，同事小董好像遇到了妖魔鬼怪一样大叫一声，“我的老天爷！”怎么啦？大家循声而去，以为超级大蟑螂出现了，到了现场才知道，原来小董收到了一封邮件，其中的附件为“list 20200924 4644753.doc“是一份word文档，邮件大概内容是某种产品的报价，小董运行附件，结果被钉邮跳出的提示框吓到了，提示该附件可能是病毒文件，近期公司针对客户经理做了好几场关于勒索病毒的专题培训，小董现在的状态是听到“勒索病毒”四个字就发怵，所以只是看到提示是病毒，还未运行就吓得哇哇大叫了。
正好借着这个疑似病毒的word文档附件分析，聊聊现在邮件病毒的运行模式。
通过沙箱进行分析，果然四个引擎报毒：
接下来分析行为，没想到运行的瞬间小小的看似word的附件在后台可以做如此多的动作：
通过powershell运行一大串代码，接下来创建了一大串自动运行的服务：
service_path: "C:\Windows\system32\netplwiz\fdprint.exe"
service_name: fdprint
service_path: "C:\Windows\system32\dxva2\certCredProvider.exe"
service_name: certCredProvider
service_path: "C:\Windows\system32\vdsbas\wmicmiplugin.exe"
service_name: wmicmiplugin
service_path: "C:\Windows\system32\iernonce\gpsvc.exe"
service_name: gpsvc
安装了六个消息钩子（消息钩子：是Windows消息处理机制的一个平台,应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。），利用powershell下载了一个可执行的文件C:\Users\vbccsb\EXyas68\X_XE08_\Qicxrezc.exe，立即执行，产生相应的进程，访问 http://h2a1.com/uf8vu/U/页面同时与主机h2a1.com 进行数据交互。
接下来的动作就是扫描计算机名，扫描用户名等等，按照常规套路分析，扫描用户名后就是口令爆破，爆破成功后，进行提权，横向攻击，当然过程中会源源不断的将需要的工具空投过来，现在攻击所用到的工具基本上都是正常的软件工具，简单点说就是可以绕过防毒软件的扫描和检测，从行为上分析才可以定性是病毒木马恶意软件。
小董在旁边看得眼睛都直了“这明明看着就是一份正常的word文档，没想到里面隐藏着这么多阴谋诡计，花花肠子，男盗女娼（后面隐去500字）……真是世风日下，收封邮件，都有可能被黑成这样！“
蓝盟IT外包建议，避免被垃圾邮件病毒攻击的最佳防御手段，仍然是提高安全意识，对于陌生邮件的附件坚决不点击！同时也可以通过部署邮件网关，客户端部署EDR安全体系整体提升系统的安全能力进行全面的防御。
文/上海蓝盟 IT外包专家
相关推荐
- mysql数据库如何快速获得库中无主键的表
-
概述总结一下MySQL数据库查看无主键表的一些sql,一起来看看吧~1、查看表主键信息--查看表主键信息SELECTt.TABLE_NAME,t.CONSTRAINT_TYPE,c.C...
- 一文读懂MySQL的架构设计
-
MySQL是一种流行的开源关系型数据库管理系统，它由四个主要组件构成:协议接入层...
- MySQL中的存储过程和函数
-
原文地址：https://dwz.cn/6Ysx1KXs作者：best.lei存储过程和函数简单的说，存储过程就是一条或者多条SQL语句的集合。可以视为批文件，但是其作用不仅仅局限于批处理。本文主要介...
- 创建数据表:MySQL 中的 CREATE 命令深入探讨
-
数据库是企业日常运营和业务发展的不可缺少的基石。MySQL是一款优秀的关系型数据库管理系统，它支持数据的插入、修改、查询和删除操作。在数据库中，表是一个关系数据库中用于保存数据的容器，它由表定义、表...
- SQL优化——IN和EXISTS谁的效率更高
-
IN和EXISTS被频繁使用在SQL中，虽然作用是一样的，但是在使用效率谁更高这点上众说纷纭。下面我们就通过一组测试来看，在不同场景下，使用哪个效率更高。...
- 在MySQL中创建新的数据库，可以使用命令，也可以通过MySQL工作台
-
摘要：在本教程中，你将学习如何使用MySQLCREATEDATABASE语句在MySQL数据库服务器上创建新数据库。MySQLCREATEDATABASE语句简介...
- SQL查找是否"存在"，别再用count了
-
根据某一条件从数据库表中查询『有』与『没有』，只有两种状态，那为什么在写SQL的时候，还要SELECTCOUNT(*)呢?无论是刚入道的程序员新星，还是精湛沙场多年的程序员老白，都是一如既往...
- 解决Mysql数据库提示innodb表不存在的问题
-
发现mysql的error.log里面有报错：>InnoDB:Error:Table"mysql"."innodb_table_stats"notfo...
- Mysql实战总结&面试20问
-
1、MySQL索引使用注意事项1.1、索引哪些情况会失效查询条件包含or，可能导致索引失效如果字段类型是字符串，where时一定用引号括起来，否则索引失效...
- MySQL创建数据表
-
数据库有了后，就可以在库里面建各种数据表了。创建数据表的过程是规定数据列的属性的过程，同时也是实施数据完整性（包括实体完整性、引用完整性和域完整性）约束的过程。后面也是通过SQL语句和Navicat...
- MySQL数据库之死锁与解决方案
-
一、表的死锁产生原因:...
- MySQL创建数据库
-
我的重点还是放在数据表的操作，但第一篇还是先介绍一下数据表的容器数据库的一些操作。主要涉及数据库的创建、修改、删除和查看，下面演示一下用SQL语句创建和用图形工具创建。后面主要使用的工具是Navica...
- MySQL中创建触发器需要执行哪些操作?
-
什么是触发器触发器，就是一种特殊的存储过程。触发器和存储过程一样是一个能够完成特定功能、存储在数据库服务器上的SQL片段，但是触发器无需调用，当对数据库表中的数据执行DML操作时自动触发这个SQL片段...
- 《MySQL 入门教程》第 17 篇 MySQL 变量
-
原文地址：https://blog.csdn.net/horses/article/details/107736801原文作者：不剪发的Tony老师来源平台：CSDN变量是一个拥有名字的对象，可以用于...
- 关于如何在MySQL中创建表，看这篇文章就差不多了
-
数据库技术是现代科技领域中至关重要的一部分，而MySQL作为最流行的关系型数据库管理系统之一，在数据存储和管理方面扮演着重要角色。本文将深入探讨MySQL中CREATETABLE语句的应用，以及如何...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- mybatis plus (70)
- scheduledtask (71)
- css滚动条 (60)
- java学生成绩管理系统 (59)
- 结构体数组 (69)
- databasemetadata (64)
- javastatic (68)
- jsp实用教程 (53)
- fontawesome (57)
- widget开发 (57)
- vb net教程 (62)
- hibernate 教程 (63)
- case语句 (57)
- svn连接 (74)
- directoryindex (69)
- session timeout (58)
- textbox换行 (67)
- extension_dir (64)
- linearlayout (58)
- vba高级教程 (75)
- iframe用法 (58)
- sqlparameter (59)
- trim函数 (59)
- flex布局 (63)
- contextloaderlistener (56)