成熟后门身披商业外衣，对抗杀软实现远控

近期，火绒威胁情报中心监测到一个名为“企业智能化服务平台” 网页上托管的文件存在恶意行为，火绒安全工程师第一时间提取样本进行分析。分析中发现样本为易语言编写的成熟后门，能根据 C2 指令实现对受害者机器的完全控制。除此之外，它还会检测受害者机器中杀软的安装情况进行对抗，上传受害者系统中相关信息，并设立开机启动项进行持久化驻留等。目前，火绒安全产品可对上述病毒进行拦截查杀，请广大用户及时更新病毒库以提高防御能力。

火绒 6.0 查杀图

观察到样本来源页面如下图所示。打开该网页后会自动下载一个名为 "合同.rar" 的文件到本地。解压运行该文件后，会从内存中解密多个子文件进行加载和释放，最终运行易语言远控代码，实现对受害者机器的完全访问控制。此外，根据火绒威胁情报系统显示，该后门还会伪装成其它商业文件进行传播，观察到的其伪装的文件名有 “supe-告知函.exe”、“电子合同.xls” 等。

网页界面

样本执行流程如下所示：

样本执行流程图

一

样本分析

从 “合同.rar” 中解压出来 “合同.exe” ，该程序为易语言编写的引导程序：

易语言入口点

“合同.exe” 执行时，会先检查 “tomcat.exe” 进程是否存在。“tomcat.exe” 进程实际上是下一阶段恶意代码的执行文件。如果存在，则直接结束该进程：

检查 tomcat.exe 进程

接着解密出 “360tray.exe” 字符串，并继续查看“tomcat.exe” 进程是否存在。如果不存在，就直接释放下一阶段 payload；如果存在，则进一步解密密文，检测杀软数量，当只有 “360tary.exe” 一个杀软时，继续释放 payload：

检测 360tray.exe 并释放 payload

密文对应的杀软列表

但当杀软数量不止一个时，“合同.exe” 程序则会进一步执行驱动对抗操作。该程序首先会获取本地网络适配器信息以禁用无线网卡：

获取网络适配器信息

接着检查 "ZhuDongfangYu.exe" 进程是否存在。如果存在，则解密并释放 "C:g.sys"、"C:y.sys"、"C:all.exe" 3 个文件运行以进行驱动对抗操作，然后继续释放并执行下一阶段 payload：

驱动对抗操作

释放文件信息

其中，释放文件中的"all.exe" 程序，根据字符串信息可以确认其来自于开源项目 RealBlindingEDR（https://github.com/myzxcg/RealBlindingEDR），该开源项目以分享对抗 AV/EDR 的技术为主。此外，文件中的 "g.sys" 和 "y.sys" 也是该项目相关文件，在此不做详细分析：

all.exe 界面信息

RealBlindingEDR 项目截图

释放下一阶段 payload 行为分析：

释放的下一阶段 payload 文件有两个。首先释放的是 conf.ini 文件，该文件中会写入由当前执行文件路径转换而成的密文：

释放 conf.ini

conf.ini 内容展示

接着解密出另一个可执行文件 "tomcat.exe"，第一次解密得到的字节码还要通过内存遍历，用指定的密文替换 tomcat.exe 中作为占位符的 "kkk" 字符串：（根据后面的分析可知，该指定密文为要连接的 C2 IP）

解密字节码并替换

替换内容

最后启动 "tomcat.exe" 进程，开启下一阶段操作：

启动 "tomcat.exe" 进程

释放文件列表