该样本用到了与FIN7组织类似的攻击手段
文件md5：619aa4e6c9db275381ab0e7fc7078f5f
SHA256：a7a927bd44040817ae39e15aeb3f0b69ca943d4ce5b00d12eed6fae5b1c325d0
文件类型：rtf。

打开如下：

双击

lnk文件目标内容：

lnk文件中的位置栏信息将启用vb引擎执行文件内容中的VBS代码。

提取文件中的VBS代码大致如下：

上述代码中的 beg、psCb 、vbLdr三个字符串变量经过base64解码出58e773daa6ce37.38604406.vbs、58e773daa6ce54.73161248.ps1、58e773daa6ce48.18772433.vbs三个脚本文件，脚本文件保存在%HOMEPATH%\Intel目录下。然后起wscript.exe进程执行58e773daa6ce48.18772433.vbs。

先研究58e773daa6ce48.18772433.vbs文件。
该vbs脚本中存在大量字符串信息，而且标识符名称均存在混淆。

封装到html文件中用浏览器调试。
注意executeglobal函数的调用。

继续跟进。进入解密出的vsb代码片段

dump出这块代码，其核心逻辑代码如下所示。该段代码将会释放多个脚本文件和配置文件。

该过程释放文件如下。

对比脚本中存在的文件名称信息，发现有五个标识符并无释放的文件：p_autorjs1、p_autorjs2、p_ggldr、outFile、p_start。
根据代码中的执行顺序，依次执行p_runnerr、p_loader、p_autostarter2脚本内容。即58e773daa6cda0.00520298.vbs，58e773daa6cdb6.29194799.vbs、58e773daa6cdd1.63949905.vbs。

跟进58e773daa6cda0.00520298.vbs。同样通过executeglobal函数执行自解密出来的vbs代码。核心功能为文件删除、更新、运行新的恶意文件。

这部分代码通过配置文件进行文件的移动以及删除操作，后续会起powershell.exe执行58e773daa6cd89.12178801.ps1脚本。

58e773daa6cd89.12178801.ps1脚本解码出来如下。该代码用于截屏，将位图文件保存到intel目录下。

58e773daa6cda0.00520298.vbs脚本通过与同目录下的58e773daa6cd71.36107668.ini交互，读取是否需要截屏的指令信息进行相应的操作。
如检测到“delete”指令，会解密出deletron.vbs文件，保存到%temp%目录下。deletron.vbs结构如下：

该段代码用于创建计划任务，并基于正则表达式检测获取任务运行参数。

该部分代码可见IOC敏感信息，应该是网络交互部分。

通过读取58e773daa6cd71.36107668.ini我呢见内容进行相应的RAT功能。

贴出核心RAT代码如下：

C2地址形式如下：在urlArry数组中取出IP及端口信息，然后拼接有盘符信息计算出的字符串。
5ddK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0t1H3y4q4)9J5k6e0p5#2y4g2)9J5k6e0x3I4i4K6u0W2x3e0j5%4i4K6y4m8z5o6m8Q4x3V1k6U0k6q4)9K6c8X3k6D9y4h3N6Q4x3@1c8z5x3Y4c8F1e0#2S2k6i4K6t1#2x3@1c8Q4x3U0k6S2L8i4m8Q4x3@1u0E0N6X3S2%4k6r3S2X3i4K6y4p5j5@1S2H3L8q4)9J5y4X3q4E0M7q4)9K6b7X3N6E0L8K6m8I4N6r3u0Q4x3@1c8y4K9W2g2Q4x3U0f1K6c8q4)9J5y4X3q4E0M7q4)9K6b7X3W2Z5K9o6S2&6i4K6y4p5P5h3E0m8L8%4k6a6g2r3^5%4e0h3S2A6d9U0W2&6L8#2W2a6d9X3g2A6d9q4)9J5y4e0y4p5i4K6t1#2x3@1b7`.
8d7K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0t1H3y4q4)9J5k6e0p5#2y4g2)9J5k6e0x3I4i4K6u0W2x3e0j5%4i4K6y4m8y4o6b7K6i4K6u0r3j5$3c8Q4x3@1k6X3L8o6g2Y4i4K6y4p5e0U0u0@1L8V1!0j5h3g2)9J5y4e0y4p5i4K6t1$3j5h3#2H3i4K6y4n7L8i4k6Z5N6$3c8Z5k6W2)9K6c8r3y4t1M7r3I4Q4x3U0k6S2L8i4m8Q4x3@1u0Y4L8h3)9H3M7i4c8T1i4K6y4p5e0h3A6g2i4K6t1#2x3@1c8Q4x3U0k6S2L8i4m8Q4x3@1u0A6K9r3R3^5P5g2)9K6c8s2W2C8b7h3!0$3e0#2c8F1y4@1#2Z5K9f1Z5&6P5h3!0k6e0@1A6W2K9f1S2Q4x3U0f1K6c8q4)9J5y4e0y4p5

杀软检测，若存在杀软就退出。包括卡巴斯基、AVG等厂商的杀软产品（通过遍历查找杀软组件模块检测）。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课