官方也不安全？CPU-Z 與 HW Monitor 下載鏈被劫持 | 中文配音

大家好,我是Eric,今天剛在X上被Cedar點名了。 非常感謝你第一時間發給我,這樣我們就能立刻跟進。 這條消息來自Reddit的PC Master Race板塊,發佈於三小時前, 說CPU-ID官網上的HW Monitor D6.3下載寶寶是病毒。 我想更新HW Monitor,可能有人不知道。 基本上,哪個用Windows系統,喜歡玩PC遊戲的人都會用到它。 這個程序可以讓你查看系統的溫度和性能。 它很有用,我以前超頻的時候肯定用過。 於是他們下載了這個,結果Windows Defender檢測到了問題。 幹得漂亮,Windows Defender。 但這個人還是啓動了它,結果淌出了一個惡意程序。 他們很擔心,就去VirusTotal刪了它。 這看起來不妙,而且名字也不一樣。 不過,這些鏈接看起來倒是真的。 來看看怎麼回事。 我們點擊去看看,這個好像不太對。 我起初以爲是惡意廣告。 不對,我們點的是下載按鈕。 好吧,壓縮包看起來沒問題,但這個觸發了警報。 幸好我點錯了,所以得感謝。 攔截窗口太小,我們重命名一下。 慢後墜,確保它不會惹麻煩。 再看看,這裏還有些奇怪的地方。 我們可以把它上傳到VirusTotal,確認是不是同一個文件。 錯誤的網址就是個明顯的危險信號。 這纔是真正的官網。 我們來看看。 我們這就上傳。 沒錯,這肯定是同一個東西。 那我們去Alienware實際看看它到底在幹什麼。 這次分析,我們基本上用默認設置。 不過我會加個住宅代理,排除那個干擾因素。 等它加載的時候我再想。 我實在想不出什麼理由。 啊,它已經彈出來了。 沒錯,這和那個Reddit用戶發現的情況一樣。 幸運的是,從更全面的分析來看, 目前還沒出什麼大問題,他們的電腦完全沒事。 但如果我們點同意,這裏確實寫着HW6信息監視器。 這不太對,因爲HWinfo是另一個程序。 好吧,你們知道我看不懂俄語, 但我們還是安裝它,看它會發生什麼。 系統找不到文件。 不妙,我們返回看看。 有變化嗎?文件不存在,這很奇怪。 哦,這就怪了。 這看起來像是…… 好吧,我覺得他們可能把這個活動搞砸了。 因爲事實上,這就是惡意軟件, 而且它被檢測爲假冒的Fagzilla。 它檢查環境,有反虛擬機制, 然後看起來是啓動了信息竊取的有效載荷。 這是真HWmonitor還是假的? 可能兩者都有。 我不太喜歡這個趴外笑提示符, 我覺得真正的HWmonitor不會這樣。 至少現在,它知道這不是HWinfo另一個程序, 所以快捷方式纔沒起作用。 又看到安裝程序?這個是假的? 這裏面確實有很多不尋常的地方, 但我的意思是,這足以確認它是惡意的了。 不過,從它的安裝方式以及必須運行這個載荷來看, 它做得還不夠完善。 讓我很好奇,想看看這個。 這裏我們可以看到一些看起來非常可疑的代碼。 嗯?這可不是優化該有的樣子。 然後我們一運行,趴外笑立刻彈了出來。 我來看看它跑哪去了。 看來是趴外笑寫了那個項目。 然後這裏我們可以看到更多。 潛在惡意軟件。 所以,這是一個導入。 顯然,載荷在緩存文件BuildPsycheData裏。 我們來下載這個。 看看其他的,就能明白真相。 然後我就用了OpenAI。 有一個小型的或者說簡單的模型, 叫CodecSpark, 在谷歌上一下子就搜到了。 CodecSpark顯示這是DL匹配結果很多。 我這麼做, 是因爲我感覺最終載荷在沙盒裏沒有執行, 可能被檢測到了。 我一用返彙編器打開它, 就注意到一個Paperwork。 可以看到裏面有個哈希函數。 然後這個函數把哈希值作爲輸入, 對每個DLL6的名稱進行哈希, 然後便利。 這樣無論是在字符串描裏, 還是直接調用中, 你都看不到它用了哪些導入。 這只是一種反分析技術。 讓返彙編代碼更難讀, 但是還在打包程序裏, 繼續靜態分析。 我一眼就能看出這是夾殼程序, 而且夾殼方式並不隱蔽。 數據區有大量無法執行的代碼塊, 而真正的代碼區卻少得可憐。 代碼本該存放在text段裏, 我會讓Codecs繼續深挖, 同時我們也會動態追蹤分析。 好的,在等待分析結果時, 我想在沙箱裏完整演示一遍流程。 關鍵在於是運行安裝程序時中招, 還是運行主程序時才中招。 如果是安裝程序階段中招, 影響範圍會非常大。 如果像我之前測試那樣, 需要手動運行文件才觸發, 那攻擊者可就搞砸了, 他們原本能調到很多高價值目標。 運行這個, 首先看到俄語界面, 這應該讓你立刻警覺起來。 但我們繼續往下走, 試試自動運行功能, 但文件不存在, 所以失敗了。 只要我們點擊這個確認按鈕, 文件就會消失, 這說明攻擊者沒設計好, 不點確認就沒事。 所以觸發惡意軟件, 必須執行這個操作。 如果你只是安裝了它, 我建議立即卸載, 但點擊這裏就是覆水難收了, 此時系統已陷入危險。 這邊我們也確認下 惡意軟件的工作原理。 我認爲惡意的是DLL文件, 它會在程序未運行時被加載, 發生了什麼? 我預感這個Cryptface32 會被檢測爲惡意程序, 沒錯, 攻擊手法就是這樣, 找到了, 之前總下載失敗, 奇怪, 他們只替換了第一個鏈接, 這次把安裝程序換成了壓縮包, 我們來看看, 這個甚至標着英文版, 會是英文還是俄文? 你覺得呢? 這個可以, 試試60, 第四個鏈接立刻失效了, 確立的有象在河, 應該是一樣的, 就是Cryptface112, 實際上, 這個的反虛擬機檢測更強, 它啓動了Chrome和MS QuarkX進程, 呃, 嗯, 我不太喜歡這個域名, 成了, 但我不喜歡, 還有個連接到HiSNA的PowerX校校本, 也很可疑, 我們也可以粘貼這個來查看, 這個域名有什麼問題嗎? 我甚至沒收到, 好的, 確認了, 是的, 這是同一波攻擊行動, 但這次來自僞造網站, 而之前那個來自真實網站, 它申請了繪畫ID, 即使我用VPN連接也生效了, 而且不會停止, 要對比下這兩個Cryptbase嗎? 哈希值不同, 我猜, 這個在河應該更高級些, 顯然他們入侵網站時很匆忙, 我這麼說, 是因爲那個HWmona在河沒完全僞裝好, 對吧? 明顯應該是HWinfo的在河, 他們只替換了一半, 現在來看最終報告, 我們仔細看看, 當然要複覈下, 報告可能有誤, 但我很有把握, 因爲所有信息都和沙箱測試吻合, 如何組合工具? 我之前在研究字符串混淆, 這裏用的是動態XOR密鑰, 吻這上這是I函數, 它會便利每個字節進行轉換, 看,確實如此, 它創建了新桌面, 再次使用相同的XOR技術生成隱藏樁眼, 這通常叫HBNC, 讓遠空木馬能暗中操作你的電腦, 當然還有傳統的屏幕錄製, 輸入記錄和反向Shell, Power YELL那段, 在沙箱測試裏看到它打開了管道, 看這個創建過程, 回到動態測試界面, 一切都很清楚, 現在它正在運行, 攻擊球可以爲所欲爲, 還用了DPAPI, 這通常是信息竊取手段, 但在沙箱和靜態分析中, 都沒發現它能突破Chrome系統防護, 所以可能無法直接竊取Chrome Cookies, 但遠空木馬總有辦法得手, 這些只是反沙箱測試, 那麼這個威脅有多嚴重? 好消息是HW Monitor那次他們搞砸了, 如果是CPU Z這個運行過的話, 系統很可能已淪陷, 另一個好消息是, Windows能高度檢測到它, 除非你無視警告並籤加排除下, 它似乎不會攻擊諾頓防禦系統本身, 我們必須查清它的傳播途徑, 這是嚴重的惡意軟件, 這是遠空木馬, 這類惡意軟件一旦運行, 無論是你主動關閉了殺毒軟件, 還是它當時恰好沒被檢測到, 都可能對你的生活造成實實在在的負面影響, 我之前提過馬特範安德爾的故事, 這風險是真實存在的, 運行這類惡意負載後果嚴重, 所以重視安全至關重要, 我要反覆強調, 如果你是開源軟件的維護者或分發者, 你必須重視安全, 你必須萬分小心, 避免無意中成爲惡意軟件的分發渠道, 他們涉煤不活躍, 還沒人評論這個潛在的遠空木馬, 但這情況很糟糕, 這是最廣爲人知,信譽逐入的程序之一, 就我個人而言, 在我運行的任何Windows系統上, 會裝CPU,Z和HW Monitor, 它已被篡改成惡意軟件, 情況不妙, 以上就是我目前要分享的全部內容, 鑑於當前情況, 我想盡快把這個消息告訴大家, 再見。