当前位置:首页 > IT大件事 > IT大事件之互联网 > 正文内容

新型宏病毒通过Excel传播 后台暗刷2345网站牟利

piikee5年前 (2019-06-24)IT大事件之互联网2098

近日,一批新型宏病毒正通过Excel文件传播,该病毒入侵电脑后,会悄悄在后台不断打开带有推广计费的2345网址暗刷流量牟利,并且还会感染电脑上其它的Excel文件,然后通过这些文件传播给其它电脑,被感染的Excel文件打开后会出现"安全警告 宏已被禁用"的提示。



分析显示,该病毒会调用IE浏览器来访问带有推广计费的2345导航网址。而且,该病毒异常狡猾,为了提升自己的隐蔽性,在刷流量前会先检测用户是否开启IE浏览器进程。如果没有,则主动开启微软官方页面,让用户误把病毒刷流量的进程当成官方页面进程,从而避免被关闭。

由于Excel文件是工作、学习中常用文件,极易导致该病毒在公司、学校等范围内快速传播,请广大用户及时做好防范工作。



附【分析报告】:

一、样本分析

被感染文档打开后,都会出现如下图所示:



被感染文档

被感染文档中会出现宏病毒代码,如下图所示:



病毒宏代码

该病毒为了提高自身隐蔽性,在暗刷流量前还会检测IE浏览器进程是否存在,如果不存在则会先启动微软office官方页面(https://products.office.com/zh-CN/),通过此方法让用户误以为暗刷流量的IE浏览器进程与刚刚被启动的IE浏览器有关。在准备工作完成后,病毒代码会通过ActiveX对象调用IE浏览器访问带有推广计费名的2345导航网址。因为通过这种方式被宏脚本调用的其他程序启动时都是隐藏的,所以普通用户不会有所察觉。相关代码,如下图所示:



暗刷流量相关代码

暗刷流量时的进程树,如下图所示:



进程树

通过窗体控制工具可以显示IE浏览器窗体,如下图所示:



暗刷流量的IE浏览器窗体

病毒感染相关代码执行后,会先在XLSTART目录下创建名为authorization.xls的Excel文档,并将病毒代码前100行插入到该文档的宏模块中,之后续追加的病毒函数调用代码,使authorization.xls主要为用来感染其他Excel文档。authorization.xls被创建后,所有被启动的Excel文档都会加载执行该宏病毒代码。相关代码,如下图所示:



在XLSTART目录中释放病毒宏文档



在XLSTART目录中被创建的病毒Excel文档

当有其他Excel文档被打开时,如果当前文档ThisWorkbook宏模块前10行中存在"update"、"boosting"、"person"关键字,则会将ThisWorkbook宏模块中的原始代码删除,删除行数与病毒代码行数相同。之后,将病毒宏代码前100行插入到ThisWorkbook宏模块中,再加入相关调用代码。被追加的调用代码决定被感染的Excel主要会释放authorization.xls、暗刷流量。相关代码,如下图所示:



感染代码

二、附录

样本hash:





本文来源:火绒安全实验室

扫描二维码推送至手机访问。

版权声明:本文由萍客小居发布,如需转载请注明出处。

本文链接:https://www.piikee.net/1357.html

分享给朋友:
返回列表

上一篇:应用市场先行 谷歌拟重返中国市场?

没有最新的文章了...

相关文章

应用市场先行 谷歌拟重返中国市场?

21世纪经济报道Google 联合创始人Sergey Brin日前表示,Alphabet公司(谷歌的一个新公司)重组之后一些部门会拥有自主业务权。“公司重组后,每个部门都有权决定他们在哪些国家开展业务。” Sergey Brin说,“我们已...

1
1
2年前 (2021-11-15)

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。