電子郵件樣本分析
亞信安全截獲了一封自稱是來自印度一家糖果公司的郵件,該郵件包含Word文檔附件,如下圖:

安全專家通過分析電子郵件發(fā)現(xiàn)了一些可疑問題,最明顯的是發(fā)件人姓名和電子郵件簽名不匹配,其次是電子郵件是在7月1日發(fā)送的,郵件內(nèi)容則是通知接收方,其訂購的產(chǎn)品將在7月中旬發(fā)貨,由于時間緊迫,迫使收件人盡快打開郵件附件查看。最后,安全專家查詢了電子郵件來源的IP地址37[.]49[.]230[.]149,該地址已經(jīng)被標記為惡意地址。
安全專家繼續(xù)分析電子郵件附件New Order July.DOC(該文件被檢測為Trojan.W97M.DLOADER.PUQ),其包含兩個嵌入對象:
l Microsoft Excel 97-2003工作表
l 一個標有'package.json'的包
執(zhí)行后,該文檔立即顯示一個Microsoft Excel工作表,然后會繼續(xù)執(zhí)行嵌入在工作表中的VBS宏代碼,其執(zhí)行流行如下:

通過分析,安全專家發(fā)現(xiàn)發(fā)件人IP地址與發(fā)件人域不匹配,所以發(fā)件人極有可能偽裝成合法的帳戶。該電子郵件很可能是從僵尸網(wǎng)絡(luò)或感染惡意軟件的受害者機器發(fā)送的。
隱藏在圖像中的代碼
亞信安全還截獲了LokiBot變種文件,其通過包含惡意RTF格式(RTF)文件附件的垃圾郵件傳播,RTF文件包含嵌入的EXCE OLE對象,其使用Windows Management Instrumentation (WMI)和PowerShell來下載和執(zhí)行惡意軟件。

執(zhí)行后,其會生成%Temp%\ [filename] .exe 以及%temp%\ [filename] .jpg 文件,jpg文件可以被正常打開,如下圖所示,但是它包含了LokiBot解壓縮過中引用的數(shù)據(jù)。

該圖像包含加密二進制,用于整個不同的解壓縮階段,直到主LokiBot代碼在內(nèi)存中解密。在加載主代碼之前,它會在%appdatalocal%中創(chuàng)建一個目錄,該目錄將包含LokiBot二進制文件和圖像(與%temp%中的相同))。同時,它還會生成Visual Basic腳本(VBS)文件來運行LokiBot文件,并且創(chuàng)建一個指向VBS文件的注冊表自啟動項目。最后,LokiBot代碼被加載和執(zhí)行。
LokiBot使用隱寫術(shù)
LokiBot變種將加密的二進制文件隱藏在圖像文件中,首先通過子字符串函數(shù)查找加密文件開始的“標記”,該標記為“#$%^&*()__#@ $#57 $#!@”。

找到文件后,其開始使用自己的方法進行解密。



LokiBot變種依賴于隱寫術(shù)的一個可能原因是它增加了另一層混淆,即使用Wscript(VBS文件解釋器)執(zhí)行惡意軟件,而不是惡意軟件自己執(zhí)行。由于自動啟動機制使用腳本,因此未來的變種可以選擇通過動態(tài)修改腳本文件來更改自啟動機制。
亞信安全教你如何防范
l 不要點擊來源不明的郵件以及附件;
l 不要點擊來源不明的郵件中包含的鏈接;
l 采用高強度的密碼,避免使用弱口令密碼,并定期更換密碼;
l 打開系統(tǒng)自動更新,并檢測更新進行安裝;
l 盡量關(guān)閉不必要的文件共享;
l 請注意備份重要文檔。備份的最佳做法是采取3-2-1規(guī)則,即至少做三個副本,用兩種不同格式保存,并將副本放在異地存儲。
亞信安全解決方案
亞信安全病毒碼版本15.309.60,云病毒碼版本15.309.71,全球碼版本15.311.00已經(jīng)可以檢測,請用戶及時升級病毒碼版本。
IOCs
