官方公众号企业安全新浪微博

FreeBuf+小程序把安全装进口袋

• 网络安全

I 综述

重保时发现WvEWjQ22.hta执行了一个powershell进程,我们团队立即启动应急响应。经分析发现流量经过2次Base64编码+1次Gzip编码，逆向分析调试解码出的ShellCode，为CS或MSF生成的TCP反弹Shell，最终溯源出攻击IP且结束Powershell进程和TCP反弹shell进程。

II 攻击手法

利用3次编码的WvEWjQ22.ht木马绕过态势感知系统检测预警 执行powershell进程反弹shell。

III 样本分析

木马通过powershell执行命令

WvEWjQ22.hta脚本使用powershell执行一段base64编码的PS脚本

BASE64解码

通过一段PS脚本对其进行BASE64+Gzip解码并将最终执行的脚本写到1.txt中

解码出来的脚本主要就是申请内存，BASE64解码ShellCode加载执行

将脚本中base64编码的shellcode保存到文件out.bin

调试解码出的ShellCode，ShellCode为CS或MSF生成的TCP反弹Shell。上线IP：112.83.107.148:65002

IV 处置

结束powshell进程和TCP反弹Shell进程。