网络钓鱼攻击瞄准北美酒店业，旨在传播NetWiredRC远控木马

网络攻防 06-02 71

前言：

此时小伙伴们对“netrc”大约比较注意，姐妹们都需要学习一些“netrc”的相关文章。那么小编也在网摘上搜集了一些对于“netrc””的相关内容，希望咱们能喜欢，姐妹们快快来学习一下吧！

最近，360安全中心发现了一波疑似针对北美酒店业的网络钓鱼电子邮件攻击。攻击者通过网络钓鱼电子邮件将带有恶意代码的附件发送给了目标酒店的财务人员，声称该酒店拖欠了服务费用，旨在诱使收件人打开附件中的恶意文件。

当收件人打开附件中的恶意文件时，恶意代码将被激活，然后下载并执行NetWiredRC远控木马。NetWiredRC的功能十分强大，能够实现注册表的读写、文件读写、屏幕截图、键盘记录、模拟键盘/鼠标点击，以及窃取登录凭证等各种各样的恶意功能。

技术细节

如上所述，攻击者谎称目标酒店的拖欠了某些服务的费用，并提醒收件人查看附件中的账单，以诱使收件人打开附件：

钓鱼电子邮件的附件是一个ZIP压缩文件，恶意代码就包含在解压后的一个快捷方式lnk文件中。

一个PowerShell脚本嵌入lnk文件的“目标”栏中，负责从“http[:]//bit.do/e2VHR”恶意组件。

http[:]//bit.do/e2VHR是一个短网址，其真正的下载地址是http[:]//13.67.107.73:80/amtq/out-441441271.ps1：

Out-441441271.ps1被用作一个释放器，在执行后将释放.NET木马psd.exe：

psd.exe经过了层层混淆：

去混淆后，可以看出它的核心代码是解密并执行QMLBeOtNWa.exe：

QMLBeOtNWa.exe将在启动目录中释放一个快捷方式，以实现病毒自启动：

然后检查NetWiredRC是否已经存在，如果不存在，则解密并执行NetWiredRC：

如上所述，NetWiredRC是一种功能强大的远控木马，它可以执行以下病毒功能：

解密远程控制的在线地址：

获取磁盘信息：

获取截图：

按键记录：

模拟鼠标点击：

获取LSA登录会话信息：

窃取存储在IE、Comode Dragon、Yandex、Mozilla Firefox、Google Chrome、Chromium、Opera浏览器和OutLook、ThundBird、SeaMonkey以及其他电子邮箱客户端中的登录凭证。以Chrome为例，代码逻辑如下：

安全建议

（1）不要打开来历不明的电子邮件。在收到此类电子邮件时，正确的做法是将它们提交给安全部门进行调查，以在打开之前确认安全性。

（2）对于安全性未知的文件，一定不要单击“启用宏”按钮，以防止宏病毒入侵。

（3）及时安装系统补丁，以修复系统漏洞。