压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

概述

奇安信威脅情報中心和天擎獵鷹團隊在終端運營過程中發現一伙未知的攻擊者正在瞄準區塊鏈行業的客戶，惡意的壓縮包為“轉賬截圖2025.5.31.zip”，攻擊者通過 Telagram 通信軟件一對一進行傳播，壓縮包中為 Lnk 誘餌，雙擊后彈轉賬記錄截圖和釋放白加黑組件，內存加載 DcRat，C2 帶有自簽名證書模仿qianxin.com。

目前天擎“六合”高級威脅防御引擎已經可以實現對該 Lnk 的攔截，我們建議客戶啟用云查功能來發現未知威脅。

樣本分析

Lnk 文件指向的命令如下：

從遠程服務器下載 vbs 腳本并啟動，內容如下，帶有中文注釋，內容很像主流 GPT 自動生成的腳本代碼：

誘餌文件如下：

釋放的黑 dll 被加上了合法的數字簽名 “Wuhoo Harmonious Reed Trade Co., Ltd.”

惡意代碼邏輯在 Py_Main 函數中，主要功能為在內存中加載 Shellcode。

此 Shellcode 是一個 Loader，用于加載最終載荷 DCRat，C2：103.45.68.150:80

與 C2 建立連接后，啟動 Powershell 下載第二階段的 Payload：

攻擊者在第二階段又彈出了一個誘餌圖片用來展示轉賬完成：

二階段的白加黑組件功能是讀取 arphaCrashReport64.ini 解密為 Shellcode，并將其加載到新創建的進程 rundll32.exe 中

Shellcode 功能與之前相同，加載同一個載荷 DCRat，C2：38.46.13.170:8080

擴線

其基礎設施曾經搭建過比特幣售賣網站，疑似用于詐騙。

這類網站的活躍數不多，似乎由相同的模板搭建而來：

VT 上觀察到同源的樣本，疑似通過 SEO 進行傳播。

同樣帶有數字簽名，目前已經被注銷：

沙箱識別為 asyncRat，C2：148.178.16.22:6666

總結

目前，基于奇安信威脅情報中心的威脅情報數據的全線產品，包括奇安信威脅情報平臺（TIP）、天擎、天眼高級威脅檢測系統、奇安信NGSOC、奇安信態勢感知等，都已經支持對此類攻擊的精確檢測。

IOC

FileHash-MD5:

05339834a0e7317505c74b58b19aaf0e

1b98984d2438d7a5d14b4f373b55603b

3cf9a8d8b7b68160d7523e60b0e43cd5

DcRat C2:

103.45.68.150:80|443

103.45.68.244:80|443

103.45.68.203:80|443

38.46.13.170:8080

Asyncat C2:

148.178.16.22:6666

Domain：

zl-web-images.oss-cn-shenzhen.aliyuncs.com

聲明：本文來自奇安信威脅情報中心，稿件和圖片版權均歸原作者所有。所涉觀點不代表東方安全立場，轉載目的在于傳遞更多信息。如有侵權，請聯系rhliu@skdlabs.com，我們將及時按原作者或權利人的意愿予以更正。