警惕H-Worm蠕虫病毒伪装电影样片钓鱼，草率点击附件会被完全控制

2019-06-21 来源：原创作者：腾讯电脑管家

我要分享

【文章摘要】腾讯安全御见威胁情报中心发现附带H-Worm蠕虫病毒变种的钓鱼邮件攻击。攻击者参考VBS蠕虫病毒H-Worm代码制作JS版本变种，并将其打包为压缩文件，之后伪装成某电影特效制作公司向攻击目标邮箱投递包含病毒附件的邮件。目标用户不慎打开附件中的压缩文件，H-Worm蠕虫变种会立即执行，病毒会连接远程服务器接收指令对中毒电脑进行远程控制。

一、背景

腾讯安全御见威胁情报中心发现附带H-Worm蠕虫病毒变种的钓鱼邮件攻击。攻击者参考VBS蠕虫病毒H-Worm代码制作JS版本变种，并将其打包为压缩文件，之后伪装成某电影特效制作公司向攻击目标邮箱投递包含病毒附件的邮件。目标用户不慎打开附件中的压缩文件，H-Worm蠕虫变种会立即执行，病毒会连接远程服务器接收指令对中毒电脑进行远程控制。

H-Worm蠕虫病毒还会通过在U盘、移动硬盘等可移动存储设备上创建大量指向病毒的Lnk文件，从而通过移动存储设备在目标网络中横向传播扩散。

钓鱼邮件传播H-Worm蠕虫变种流程

腾讯御点及腾讯电脑管家均可查杀该病毒，腾讯安全专家建议用户谨慎处理不明邮件的附件。

二、详细分析

攻击者伪造了来自日本某公司的发件邮件信息

邮件中提示参阅附件VPO0918001.zip，并提到付款相关信息。同时还说明了需要提供电影样本、制造以及定制设计等内容。

当我们尝试打开邮件伪造的发件邮箱地址时，发现该地址的确是一家从事电影及音乐短片制作的日本公司。这表明出黑客在攻击前，特意搜集了发邮件时需要用到的伪造公司的信息，进而在攻击过程中构造与该公司相关的邮件内容，以此来迷惑被攻击对象，诱惑其打开邮件附件。

邮件附件文件VPO0918001.zip，该文件解压后释放VPO0918001.js，后续分析可知VPO0918001.js是完全由JS脚本实现的远控木马。

VPO0918001.js经过混淆和base64编码，执行前需要解混淆。首先通过正则匹配将代码中的“%@>”替换为“A”，然后将替换后的代码通过base64解码，得到最终要执行的代码

解密后的代码分成两个部分，一部分为释放子木马lkdsUaKrEM.js到%appdata%目录下并启动执行，另一部分为JS远控代码主体。释放的子木马lkdsUaKrEM.js与母体木马代码逻辑比较相似。

VPO0918001.js

远控代码开头，初始化信息，包括上线地址、端口等

host	上线地址	bedahogs.100chickens.me
port	上线端口	4441
startup	全局启动项目录	startup
installdir	木马安装目录	%appdata% or %temp%

查询安图高级威胁溯源系统可以看到服务器bedahogs.100chickens.me对应的IP为178.239.21.37，地址位于波黑

然后执行instance函数进行持久化，首先根据注册表HKEY_LOCAL_MACHINE\\software\\中是否存在与脚本名相同的项目，来判断是否已经感染，并将该值记录到usbspreading，表示感染U盘。若不存在对应的注册表项则重新写入。

然后在instance中调用upstart将JS脚本木马写入注册表Run启动项(HKEY_LOCAL_MACHINE\\software\\microsoft\\windows\\currentversion\\run\\)，并将木马文件复制到安装目录(%appdata%或%temp%)，

以及全局启动项目录startup(C:\Users\[guid]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup)。

完成持久化之后，进入木马主体，在一个大while循环中不断执行安装操作和询问服务器（发送参数“is-ready”），并根据服务器返回的不同指令执行各类动作。

在安装函数install中对系统中的移动磁盘进行感染，包括U盘或移动硬盘等移动存储设备都会被植入木马。感染时首先枚举drivers，找出类型为“1”的磁盘（可移动盘），然后将木马文件复制到该盘根目录下，然后枚举该盘中的所有文件及文件夹，使用每个文件或文件夹的名字生成快捷方式，并将快捷方式启动对象设置为木马文件。