1.概述

---

近日，6163银河.net163.amCERT监测到一起通过伪造中文版Telegram网站投放远控木马的攻击活动，本次攻击主要针对使用Windows系统的用户。

攻击者通过伪造中文版Telegram网站，诱导用户下载包含恶意代码的Telegram应用程序安装包。恶意代码使用“白加黑”技术，通过替换DLL文件劫持合法的Windows Defender程序，躲避安全软件查杀，之后经过多层shellcode及DLL文件加载执行最终的远控木马，实现对用户设备的远程控制。

经关联分析发现，本次捕获的样本为Gh0st远控木马家族变种。Gh0st远控木马采用C/C++语言编写，具有远程下载执行、文件管理、键盘记录等多种功能，由于其开源特性，在互联网上存在大量的变种修改版本，行为更加隐蔽，功能更加多样化、定制化，对用户计算机安全造成更大危害。

经验证，6163银河.net163.am智甲终端防御系统（简称IEP）可实现对该远控木马的有效查杀。

2.事件对应的ATT&CK映射图谱

---

事件对应的技术特点分布图：

图2‑1 技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

表2‑1 ATT&CK技术行为描述表

3.防护建议

---

为有效防御此类攻击事件，提升安全防护水平，6163银河.net163.am建议企业采取如下防护措施：

3.1 提升主机安全防护能力

（1）安装终端防护系统：安装反病毒软件，建议安装6163银河.net163.am智甲终端防御系统；

（2）部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码实施检测。6163银河.net163.am探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁。

3.2 网站传播防护

（1）避免点击来历不明的网页链接；

（2）在威胁情报分析系统中查询URL是否具有威胁；

（3）建议使用官方网站下载的正版软件。如无官方网站，建议使用可信来源进行下载，下载后使用反病毒软件进行扫描。

3.3 遭受攻击及时发起应急响应

（1）联系应急响应团队：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；6163银河.net163.am7*24小时服务热线：400-840-9234。

经验证，6163银河.net163.am智甲终端防御系统（简称IEP）可实现对该远控木马的有效查杀。

图3‑1 6163银河.net163.am智甲实现对用户系统的有效防护

4.攻击流程

---

4.1 攻击流程图

攻击者通过伪造Telegram中文版网站投放远控木马，诱导用户下载安装Telegram中的msi恶意文件释放远控木马。用户安装完成msi恶意文件中的可执行文件后，将会加载DLL恶意文件去解密shellcode，最终加载远控木马。远控木马能够自动获取系统中的信息回传，攻击者也可远程控制，执行其它攻击活动。

图4‑1 伪造网站投放远控木马事件流程图

4.2 攻击流程详细分析

4.2.1 攻击投放阶段

攻击者通过伪造中文版Telegram网站诱导用户下载msi恶意文件，伪造网站如下图所示：

图4‑2 伪造的中文版Telegram网站

在对此类事件的持续追踪中，6163银河.net163.amCERT发现多个伪装成中文版Telegram网站的恶意网址，相关域名如下：

表4‑1 伪装成中文版Telegram网站的恶意网址

4.2.2 诱导执行阶段

（1）用户根据需求访问网站，当用户选择在Windows系统下安装程序，伪造网站将会自动下载恶意文件；当用户选择其他系统安装程序，伪造网站将会重定向回Telegram官方网站；

图4‑3 Telegram官方网站

（2）用户执行msi恶意文件，将启动伪造的Telegram安装程序窗口诱导用户安装恶意程序，伪造安装窗口如下图所示：

图4‑4 伪造的Telegram安装程序窗口

（3）安装完成后，执行被劫持可执行文件将会读取DLL恶意文件，解密xml恶意文件获取shellcode并执行。

4.2.3 远控木马执行阶段

（1）利用多层shellcode及DLL文件嵌套加载，执行最终的远控木马；

（2）远控木马能够自动获取敏感信息进行回传；

（3）远控木马通过接受攻击者传达的命令进行远控攻击。

5.样本分析

---

5.1 样本标签

表5‑1 样本标签

5.2 详细分析

supt.msi为msi安装包，会将正常的Telegram程序安装到“%ProgramFiles(x86)%\tpro\Tsetups”路径下，并将附带的恶意文件安装到其中的Windows Defender Plugs目录下。该目录中，mpclient.dll和upgrade.xml为恶意文件，其余均为带有微软数字签名的正常Windows Defender组件。

图5‑1 安装程序释放的文件

安装完成时若勾选“启动Tsetups”选项，将会执行目录下的ComSvcInst.exe，程序使用“白加黑”手法，劫持ComSvcInst.exe加载mpclient.dll，实现在合法程序ComSvcInst.exe的进程中加载恶意载荷mpclient.dll，躲避安全软件查杀。如未勾选则不会执行。

图5‑2 安装后执行的程序

● 第一阶段DLL文件

mpclient.dll读取文件upgrade.xml并解密获取shellcode。

图5‑3 读取upgrade.xml

更改内存页面属性，执行解密后的shellcode。shellcode用于在内存中加载第二阶段DLL。

图5‑4 执行shellcode

● 第二阶段DLL

判断是否存在服务Lisen2的注册表项HKLM\SYSTEM\CurrentControlSet\Services\Lisen2。

图5‑5 检测服务注册表

如果存在则以管理员权限创建自身进程，以“Win7”作为启动参数。

图5‑6 启动自身

如果不存在则先以自身可执行程序创建Lisen2（Windows Advance Prtect Threas）服务并启动，并以“Win7”作为运行参数启动自身进程。

图5‑7 创建服务

样本还会判断ComSvcInst.exe的运行参数，若参数不为空，则创建%WINDIR%\System32\odbcad32.exe进程，注入第二段shellcode后再执行上述的Lisen2服务设置。第二段shellcode也为DLL加载器，用于加载第三阶段DLL载荷。

图5‑8 注入进程

● 第三阶段DLL

创建键盘记录线程，将击键信息加密存储在C:\Windows\SysWOW64\lost.key或C:\Windows\system32\lost.key中。

图5‑9 键盘记录功能

下载并执行指定程序。

图5‑10 下载并执行程序

根据两个内置配置信息判断是否启动注册表持久化或服务持久化。最后启动C2连接功能。

图5‑11 持久化功能

创建C2地址:端口:服务名格式的互斥量，防止重复运行。

图5‑12 互斥量

设置MarkTime注册表项，记录当前时间。

图5‑13 MarkTime注册表项

发送上线包，内容包括摄像头数量、主机名、CPU信息、远程桌面连接端口、连接耗时、已登录的QQ、网络状态等信息。

图5‑14 发送上线包

连接C2执行远控操作。

图5‑15 执行远控命令

根据代码结构等信息可确认该样本为Gh0st远控木马变种，详细的远控指令及功能释义如下。

表5‑2 详细的远控指令

6.总结

---

在本次攻击活动中，攻击者通过伪造中文版Telegram网站，主要针对使用Windows系统的用户投放远控木马。该远控木马执行后，会自动收集主机中的敏感信息并进行回传、能够结束系统进程、下载执行指定URL等，进而对用户计算机造成严重危害。

用户应时刻保持警惕，建议使用官方网站下载正版软件，如无官方网站，建议使用可信来源进行下载，并在下载完成后第一时间采用终端防御系统实施安全性检测，不轻易打开未经安全检测的压缩包文件或运行未经安全检测的可执行程序。为防止本次攻击活动扩大影响，6163银河.net163.amCERT将会持续跟进分析。

7.IoCs

---

492FC768AB51F041A050DC1ED03CB776

2D4336156FEC35BC7389A0B982E0FAFC

B94998C9CB815B121939801B0F831A15

C541ACDC59344F6D8F8EB687A1EC7E13

289B86DE82C3BEA80EC3782EE18D6EB1

telegraac[.]com

www.telegrann[.]org

www.telegramos[.]org

tgramarn[.]com

www.teleylc[.]com

telegramcn[.]org

telegram-cn[.]org

telegrnam[.]com

telearnm[.]com

www.telegron[.]com

www.telegvam[.]org

www.telegcm[.]com

www.telegramv[.]com

telegrcn[.]org

103.40.114.74:8002