您的位置:首页 > 互联网

Torchwood远控木马卷土重来“说好不哭”,360安全大脑上演全面“封杀”!

发布时间:2020-02-01 16:32:30  来源:互联网     背景:

  近期,360安全大脑监测到大量远控木马的传播,经过深度分析,发现该木马是“Torchwood”远控木马的新变种。曾经该木马通过下载网站、钓鱼邮件和QQ群等方式传播,都已被360安全大脑全面查杀,而最近的更新则有卷土重来的迹象。

  这一次该木马再度延用“CHM钓鱼攻击”的传播方式,并配合极具迷惑性的标题,诱导用户打开木马文件,使其在不知不觉中遭受攻击。广大用户不必过分担心,目前360安全大脑已全面拦截该木马的攻击,建议用户及时下载安装360安全卫士保护电脑隐私及数据安全。

  CHM文件“鱼目混珠”潜入系统

   “白加黑”作案手法屡试不爽

  什么是CHM文件呢?大家不要觉得CHM文件很“冷门”,它是经过压缩的各类资源的集合,日常中支持图片、音频、视频、Flash、脚本等内容,因为方便好用、形式多样,也可算是文件格式界里的“经济适用款”,越来越多的电子书、说明文档都采用了CHM格式。在大多数人的印象中,CHM类型文件是“无公害”文档文件,但只要加以利用便可以“鱼目混珠”潜入系统躲过杀软,并发起隐秘攻击。事实上,360安全大脑监测到的多起攻击事件中,都可以看到 CHM 文件的影子,这类手法也被业界形象地称为“白加黑”攻击。

  历史手法,又在重演。本轮攻击中,360安全大脑发现木马作者再次利用了CHM文件,再配上能够引起用户兴趣的敏感标题,然后通过下载网站、钓鱼邮件和QQ群等渠道传播,最终诱导用户打开木马文件,达到控制用户电脑,盗取帐号密码及重要资料等目的。

(与“钱财”等有关的诱惑性标题)

  360安全大脑对该CHM文件进一步溯源分析,发现Torchwood远控木马的攻击核心是加入了具有云控功能的HTML脚本。当用户运行虚假的CHM文件后,“精心乔装”的虚假网页访问404图片便会自动弹出,与此同时,潜伏在系统后台已久的攻击程序也同时悄然运行。

  360安全大脑对该混淆代码分析,发现其攻击流程如下:

  1、利用certutil.exe 下载一张网站访问404的截图run.jpg,用来欺骗用户。

  2、利用certutil.exe 下载压缩后的攻击模块temp1.jpg。

  3、利用certutil.exe 下载解压用的WinRar工具helloworld.jpg。

  4、运行WinRar工具,用来解压攻击模块,密码为“Tatoo”。

  5、用户实际运行的效果,前端利用欺骗性图片迷惑用户,背后则偷偷运行攻击程序。

  整个过程大致如下,完成下载和解压工作后,木马就会进入攻击流程。

  具体的攻击代码流程如下:

  1、首先木马作者会启动Perflog.exe文件,该文件是罗技的键鼠管理程序,属于被白利用的正常程序。

  2、Perflog.exe会加载黑模块logidpp.dll,这是木马作者经常使用的“白加黑“手法。

  3、logidpp.dll是一个PELoader程序,它的任务是在内存中解密bugrpt.log文件,并在内存中加载运行此恶意模块。

  4、调用恶意模块的导出函数“Torchwood“,执行远控代码流程。

  值得一提的是,此类木马是一个具有下载和内存执行功能的程序,并且可以通过云控的方式运行任意代码。这里,我们主要分析的是其传播远控程序对受害目标进行攻击的过程,可以看到该木马还包含一系列自我保护的功能,以达到长久驻留的目的。

(添加注册表,长期驻留)

(远控功能)

(内置的安全软件检测列表)

  Torchwood 远控木马前有针对杀毒软件的检测躲避大招加持,后有任意代码执行的远控攻击技能傍身,本轮攻击可谓来势汹汹,但360安全大脑通过多种技术手段防御和发现最新木马病毒,且已率先实现对该类木马的查杀,为避免此类攻击的感染态势进一步扩大, 360安全大脑建议:

  1、建议广大用户前往weishi.360.cn,及时下载安装360安全卫士,能有效拦截该木马的攻击,保护个人信息及财产安全;

  2、使用360软件管家下载软件。360软件管家收录万款正版绿色软件,经过360安全大脑白名单检测,下载、安装、升级,更安全;

  3、不要随意下载、接收和运行不明来源的文件,以防中招。

Torchwood远控木马卷土重来“说好不哭”,360安全大脑上演全面“封杀”!

  附录IOC

Torchwood远控木马卷土重来“说好不哭”,360安全大脑上演全面“封杀”!

返回网站首页

1.1ghz双核处理器怎么样

谷歌宣布与华为取消


旷视科技上市进展

opporeno3pro续航

智能电视怎么越来越卡

讯鸟软件入选「2019人工智能企业TOP100」
匠心与执念,魅族新品16s Pro荣光问世延续精品战略

阿里大文娱在哪里上班


返回网站首页

本文评论
为什么微软利润那么高_苹果净利润已超越微软 成名副其实科技业霸主
  据国外媒体报道,苹果市值在去年5月超越微软,成为全球市值最高的科技企业。2010年第三季度,苹果的营收超过了微软。今年第一季度,苹果的净利润也超过了微软。苹果此前发布的...
日期:07-27
Adobe Photoshop iPadOS 版即将支持 RAW 图像,包括 iPhone 13 Pro/12 Pro 拍摄的 ProRAW 照片
  10 月 13 日消息,据 MacRumors 、9to5 Mac 报道,Adobe 今天宣布,iPad 上的 Photoshop 即将支持 Adobe Camera RAW,这将使 Photoshop iPad 用户能够导入、打开和编辑 RAW 文...
日期:07-17
游戏产业再受争议 如何寻找健康平衡发展点成行业新命题_影响游戏产业的微观环境
  8月3日,游戏相关上市公司整体大跌。在港股上市的腾讯、B站盘中跌幅超过9%,A股上市公司三七互娱跌幅也超过6%。   这波板块大跌的源起是,有媒体以“精神鸦片”为名,指...
日期:08-04
马斯克称自己被枪杀的风险挺高 直言要干掉他不难_可怕的马斯克
12月5日 消息:俗话说:人怕出名猪怕壮。马斯克最近似乎也意识到自己风头太盛似乎给自己的个人安全带来了较大的风险。近日,马斯克在最近的一次采访中表示,他的个人安全“绝对面...
日期:12-08
谷歌2500亿收购_谷歌成为2010年美国最活跃的IT行业收购者
  1月6日消息,据国外媒体报道,新闻集团旗下市场研究公司—道琼斯VentureSourc日前公布的2010年“最活跃收购者榜单”显示,谷歌在2010年收购了10家风投资本支持的公司,该数据...
日期:07-25
PC销量真凉凉:用户需求锐减 CPU/显卡/SSD等厂商都要大降价清货「电脑硬件涨价趋势」
PC行业销量越来越差已经是不争的事实了,不少巨头已经开始调低了自己的盈利预期,这也是为什么最近半导体公司股价大跌的原因。统计机构IDC发布报告称,2022 第三季度,全球PC发货量...
日期:10-11
创业还是搬砖?百度直播看打工皇帝和创业女神有何话说
  我们无疑处在一个好时代,成功的创业者层出不穷,努力打拼的职场人也有机会成为下一个"打工皇帝",拿千万乃至过亿的年薪。那么,问题来了,你选择打工还是创业?   5月4日晚上2...
日期:02-12
微软电脑管家短链接下载暂停,消息称下阶段将正式上线官网
  1 月 25 日消息,今日上午,在有关微软电脑管家内测版的视频中,自称为“微软电脑管家官方”的人士表示,下一步微软电脑管家将对现有问题进行修改,并对用户提出的建议进行研判,...
日期:07-17
闪送五年递送路,有速度更有温度
  以梦为马   专人直送的递送服务   在互联网、大数据及云计算飞速发展的当下,同城递送服务正借助新兴技术的力量飞速发展,同城速递也吸引了越来越多的用户,闪送专人直...
日期:01-12
比亚迪与长城哪个好「玩电池,长城学不会比亚迪」
作者|Eastland头图|视觉中国2022年11月18日,蜂巢能源科创板上市申请获得受理。蜂巢能源前身是长城汽车(601633.SH)于2016年组建的“动力电源事业部”,2018年2月开始独立运营。由于...
日期:12-12
苹果即将推出最新笔记本电脑MacBook7.1(苹果macbookpro7.1)
  5月17日消息,据《AppleInsider》网站报道称,知情人士从苹果公司越南供应商处获得消息,苹果公司最新笔记本电脑MacBook7.1即将被推向市场。和目前市面上出售的MacBook6.1相...
日期:07-29
微软称已修复Hotmail邮件系统故障(hotmail恢复已删除邮件)
  微软于美国当地时间周一表示,已解决Hotmail邮件系统故障,恢复Hotmail用户丢失以及被错误删除的电子邮件。   上周末,Hotmail 用户在微软网站留言板中投诉邮件莫名丢失。...
日期:07-25
百度大脑开放日第四期带来22项新内容重磅发布_2016年提出的百度大脑
  7月31日,第四期百度大脑开放日在北京中关村创业大街百度大脑创新体验中心举行,迎来首次NLP专场。本期活动一如既往介绍了百度大脑近期最新开放和升级的能力,还重点解读了...
日期:02-21
哈啰出行活动「哈啰假日狂欢节期间APP日活突破1500万 增速超40%」
10 月 9 日消息,哈啰公布首届假日狂欢节战报。战报显示,哈啰假日狂欢节从 9 月 23 日持续至 10 月 7 日,持续两周的大促活动吸引了超过 1000 万用户参与,平台累计发放福利覆盖用...
日期:10-13
李彦宏: 百度才是彻底开放创新的代表(百度李彦宏创业PPT)
  9月2日的北京国家会议中心,人头涌涌,一年一度的百度世界大会今年在此举行。根据会议安排,百度CEO李彦宏是上午会议最后一个发言者,也是整天会议的重头戏,因为在会议开始前一...
日期:07-22
新表情包?腾讯申请新狗头图形商标_狗头表情包版权
10月9日消息,天眼查App显示,近日,腾讯科技(深圳)有限公司申请注册多个狗头形象图形商标以及“微信创意表情”商标,国际分类含广告销售、教育娱乐、通讯服务等,当前商标状态均为申请...
日期:10-21
iPhone 13立减800 提前过双11仅4388起「iphone13降价800」
iPhone14 Plus首销当日就立减400多元破发,让不少用户已经定义确实iPhone 14和iPhone 14 Plus确实不行,而作为更实惠的选择,iPhone 13重新回到了用户们的视线,目前外观、性能等方...
日期:10-17
理想“换代风波”又起 超1000名车主 发起集体投诉_理想汽车再遇风波:五月销量掉出三甲 换代引发车主不满
  作者: 肖逸思  [ 当前,理想汽车正处在新旧产品交替期,8月仅交付4571辆,同比下降51.54%。 ]  “理想汽车根本就是无视消费者。”9月6日,一位来自上海的理想ONE维权车主王...
日期:09-08
高压逼走推特员工 马斯克服软紧急留人_马斯克与推特ceo
11月18日消息,据国外媒体报道,面对新老板马斯克的“极限施压”,数百名推特员工准备离职,马斯克对此不得不“服软”。11月16日,马斯克通过内部邮件告诉所有推特员工,他致力于打造一...
日期:11-23
华谊兄弟入股元宇宙公司 元宇宙成了影视公司的救命稻草吗?_华谊兄弟电影世界是谁投资的
  财联社|元宇宙NEWS 10月14日讯(记者 徐赐豪) 华谊兄弟在元宇宙方面有了新的动向。元宇宙文化娱乐管理(青岛)有限公司新增华谊兄弟互娱(天津)投资有限公司成为公司股东,持股比例...
日期:10-14