NetWire,远控木马(Remote Access Trojan,RAT)家族中的一员,据说早在2012年就已经存在。
GuLoader,于2019年12月被发现的新型恶意文件下载程序,据称截止到目前已被大量网络黑客用于传播远控木马及间谍软件。
来自网络安全公司Palo Alto Networks旗下威胁情报团队Unit 42的最新消息称,GuLoader至少在上个月已经被用来传播NetWire RAT,而传播媒介则依旧主要是包含恶意附件或Web链接的Microsoft Word文档。
感染链分析
根据Unit 42团队的说法,上述发现起始于他们捕获的一封钓鱼电子邮件。电子邮件包含指向一份Microsoft Word文档的Web链接,而这份Word文档则被证实包含用于检索并下载GuLoader的Windows可执行文件的宏代码。
进一步分析表明,上述可执行文件在执行后会检索并下载经加密处理的NetWire RAT相关文件,完整的感染链如下图所示:
图1.GuLoader+NetWire感染链
诱饵文档分析
Unit 42团队表示,他们共发现了两个会产生上述相似感染链的恶意Web链接:
hxxp://www.artizaa[.]com/Andys_18US_Tax.dochxxp://murthydigitals[.]com/PM_2019_Screen_18_Tax_File.doc换句话来说,通过这两个链接下载的Word文档最终都会导致你感染NetWire RAT,恶意文档如图2和图3所示:
图2.诱饵文档示例一
图3.诱饵文档示例二
如何确认是否被感染?
首先,为实现长久驻留,GuLoader会修改如下Windows注册表项:
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
修改后的注册表项分别如图4和图5所示:
图4.被GuLoader修改的注册表项示例一
图5.被GuLoader修改的注册表项示例二
其次,因为最终感染的是NetWire RAT,所以你还可以在HKCU\Software\NetWire中找到注册表更新。
图6.NetWire的Windows注册表更新
最后,你还可以找到与NetWire感染相关的文件,如图7和图8所示:
图7.NetWire RAT在2020年3月25日渗透的数据示例一
图8.NetWire RAT在2020年3月25日渗透的数据示例二
结语
Unit 42团队表示,上述感染链对于使用默认安全设置的Windows 10计算机来说并不十分有效,原因有二:一是,自2013年以来,Microsoft Office各版本均默认启用了“受保护的视图”,以防止Word文档中的宏代码自动运行;二是,Windows Defender中的实时保护和篡改保护设置在防止Windows 10测试环境中的这些感染方面非常有效。
因此,我们强烈建议你,一是尽量不要为了“省事”而禁用一些安全设置,尤其是Windows Defender;二是一定不要轻易点击Word文档、Excel文档或其他文档中的“启用编辑”按钮,甚至是把宏设置修改为“启用所有宏”,这些操作只会将你的计算机置于危险之中。