每周典型威胁分析

 
     近日，安天 CERT（安全研究与应急处 理中心）在梳理网络安全事件时发现一种名 为 tRat 的远控木马。该木马基于 Delphi 编写， 攻击者使用垃圾邮件传播，通过宏病毒的方 式下载 tRat 到受害者机器。

     tRat 使用的宏病毒文档内容一般是知名 公司的广告，以此来诱导用户点击启用宏的 按钮；另外，还会以“invoice”这种模仿发 票的常见垃圾邮件传播恶意代码的方式来进 行攻击。一旦用户点击了启用宏的按钮，宏 代码即连接网络下载 tRat 远控木马并执行。 样本首先会复制自身到 %appdata% 下实现持 久性，接下来，tRat 在启动目录中创建一个 LNK 文件，在系统启动时会直接执行恶意代码。样本中的大部分内容使用了加密，通信 的数据也被加密并使用十六进制编码进行传 输。恶意代码回传的“AUTH_INF”中，使 用冒号分隔两个字符串，第一个字符串是其 硬编码的标识符，第二个字符串是加密的系 统信息，包含受害主机的计算机名称、系统 用户名和 tRat 的 botID。恶意代码还拥有向 C2 发送请求下载模块的功能，目前可以发送 命令“MODULE”，接收模块后可以将其作 为 DLL 加载。

     安天 CERT 提醒广大政企客户，要提高 网络安全意识，在日常工作中要及时进行系 统更新和漏洞修复，不要随意下载非正版的 应用软件、非官方游戏、注册机等。收发邮件时要确认收发来源是否可靠，更加不要随 意点击或者复制邮件中的网址，不要轻易下 载来源不明的附件，发现网络异常要提高警 惕并及时采取应对措施，养成及时更新操作 系统和软件应用的好习惯。确保没有任何计 算机运行直接连接到 Internet 的远程桌面服 务，而是将运行远程桌面的计算机放在 VPN 之后，只有使用 VPN 才能访问。同时也要做 好文件的备份，以防止勒索软件加密重要文 件后无法恢复。

      目前，安天追影产品已经实现了对该 类恶意代码的检出。