admin管理员组

文章数量:1584444

背景概述

近日,深信服终端安全研究团队中捕获到了一个木马程序,攻击者通过网络钓鱼的手段诱导受害者点击运行邮件中附带的木马程序,结合正常的Adobe CEF Helper程序进行攻击;在局域网内通过共享目录进行传播,并在用户主机上留下后门程序进行窃密或者其他恶意行为。

详细分析

从受害主机上的情况来看,病毒主要有三个部分构成:

木马的启动程序Explorer.exe其实为正常的Adobe CEF Helper程序,是Adobe Creative Cloud程序的组件之一:

该组织应该是发现了这个Helper程序会在执行过程中去以函数名的方式获取到Hex.dll中CEFProcessForkHandlerEx的函数地址并执行,所以就伪造了一个假的Hex.dll并导出同名函数CEFProcessForkHandlerEx进行劫持。

本文标签: 详解全过程木马病毒团队网络