期刊信息
主办：北京理工大学;中国环境科学学会;中国职业安全健康协会
主管：中国兵器工业集团有限公司
ISSN：1009-6094
CN：11-4537/X
语言：中文
周期：双月
影响因子：0.814499
数据库收录：
北大核心期刊（2008版）;北大核心期刊（2011版）;北大核心期刊（2014版）;北大核心期刊（2017版）;化学文摘（网络版）;中国科学引文数据库（2011-2012）;中国科学引文数据库（2013-2014）;中国科学引文数据库（2015-2016）;中国科学引文数据库（2017-2018）;中国科学引文数据库（2019-2020）;日本科学技术振兴机构数据库;中国科技核心期刊;期刊分类：环境科学与资源利用
期刊热词：
安全工程
高隐蔽性木马FakeTelegram粉墨登场 360安全卫士强力
【作者】网站采编
【关键词】
【摘要】近日，360安全卫士团队接到用户反馈，其从Discord上下载的Telegram通讯软件疑似存在木马病毒，导致文件下载、在线聊天、键盘录入等操作都“有点不对劲儿”。经及时响应持续跟进，
近日，360安全卫士团队接到用户反馈，其从Discord上下载的Telegram通讯软件疑似存在木马病毒，导致文件下载、在线聊天、键盘录入等操作都“有点不对劲儿”。经及时响应持续跟进，360安全卫士团队最终发现了一种伪装成Telegram通讯软件安装包进行攻击的病毒木马，并根据传播方式将其命名为——FakeTelegram。
披上Telegram马甲隐蔽性强
据悉，这种新型木马会下载合法的Telegram安装包进行安装，以掩盖暗中的恶意行为，并通过RDP服务实现驻留，然后伺机执行启动长期后门，记录键盘输入、扫描浏览器密码等操作，潜在威胁极大。不过，广大用户也无需过于担心，只需及时下载安装360安全卫士，便可在第一时间监测、查杀这种木马。
之所以说FakeTelegram威胁巨大，主要是基于其传播渠道的特殊性。根据360安全大脑的监测结果，该木马被托管于Discord CDN服务器。而Discord是一款主要面向游戏玩家的流行聊天通讯软件，用户量逐年增加。而且，由于向Discord上传的附件可被所有人下载，用户之间的文件分享和传输快速便捷等特点，同样也引起了网络犯罪人员的注意。随之而来的就是大量恶意软件被托管于Discord的CDN服务器以提供给木马远程下载。
潜踪匿影高段位攻击防御难度大
从360安全大脑监测和记录的攻击流程来看，从链接下载回来的“安装包”会使用C#语言进行编写，并通过程序图标伪装成Telegram安装程序的32位文件。为了更好地伪装自身，还盗用了Telegram合法软件签名Telegram FZ-LLC，不过从文件属性中可以看到该签名实际无效。为了躲避检测，程序中大量敏感字符串还进行了Base64编码，运行时才会解码。
而且，虚假安装包木马还会获取本地机器的MAC地址，匹配自身携带的地址库（共含13345个MAC地址），若在列表中则不进行感染。为了避免重复感染，程序还会通过确认文件%LocalAppData%\ASUNCB-dcBdklMsBabnDBlU是否存在来判断当前机器是否已被感染过，若确认已感染便会退出并自我删除，否则便创建该文件并继续执行后续操作。接着访问网址 src="http://p0.qhimg.com/t018a855a37150a3fa0.jpg?size=858x554"/>
为了攻击过程的顺利进行，木马通过修改注册表键值的方式降低系统的防御能力，让用户对攻击过程无感知。然后从Telegram官方下载正常的Telegram安装程序到目录 %LocalAppData% 下，以管理员权限执行合法安装程序，完成安装包原本的工作。最后，创建两个bat文件 %TEMP%\\、%TEMP%\\，写入batch命令并执行脚本执行后续攻击流程，则完成自我删除。
暗中加载后门木马威胁程度高
在这些脚本中，作为最后执行的脚本，负责完成后门程序的释放和驻留操作。首先，脚本判断当前脚本执行环境是否拥有管理员权限，有则执行后续操作，没有则尝试以管理员身份重新执行。此外，该脚本还会尝试绕过系统UAC的防护。成功后绕过防护后，脚本开始准备释放后门dll，涉及到的服务为termservice。
TermService服务启动后，会加载一款名为ServHelper后门木马。该木马使用Delphi语言进行开发，通常以dll形式出现，并使用PECompact进行加壳，以劫持RDP服务的方式完成在受害机器上的驻留。此次攻击释放的木马文件中大部分敏感字符串均进行了加密，解密密钥为“RSTVWVDJ”。
执行后，ServHelper会连接C2:
src="http://p0.qhimg.com/t01548d9c1ba2be1908.jpg?size=900x401"/>
360安全卫士利剑出击定向查杀
目前，在360安全大脑的强势赋能下，360安全卫士等系列产品可在第一时间拦截查杀此类木马威胁。同时，面对诡诈多变的木马威胁，360安全大脑还针对用户安全下载，给出如下安全建议：
1.用户在下载安装软件时，可优先通过软件官网、360软件管家查找安装，以此来避免在不正规下载站下载后导致的恶意捆绑和故障。
2.受到蓝屏波及的用户，可及时前往weishi.360.cn下载安装360安全卫士，强力查杀此类病毒木马。
3.提高安全意识，不随意打开陌生人发来的各种文件，如需打开务必验证文件后缀是否与文件名符合。
文章来源：《安全与环境学报》 网址: http://www.aqyhjxb.cn/zonghexinwen/2021/0420/1125.html
上一篇：用好公益诉讼?守护食品安全（建设更高水平的平
下一篇：让安全意识根植在娃娃心中