反调试技巧层出！伪装成Word 文件的Cobalt Strike 钓鱼程序

该文件为钓鱼程序，通过设置特殊的名称并将图标替换为Word 程序的图标，从而诱使用户打开该程序。

该恶意程序运行时会对内存进行监控，若检测到软件断点则程序会出现内存访问异常。该恶意程序会在磁盘上释放两个文件，该文件的名称及路径如下：C:UsersUserNameDocumentsKugouBrewiKuGou.exe，C:UsersUserNameDocumentsKugouConfKuPlayer.exe

文件释放完成后，即启动两个程序。

进程运行后，通过调用 GetCurrentProces 函数，获取当前进程的句柄。

随后尝试改变当前进程的 Token。

查询 ”SeDebugPrivilege” 的 Locally Unique Identifier，以用作后续改变进程的权限。

若函数正常执行则后续会修改当前进程的权限，若执行失败则返回。若权限修改成功，此时当前进程拥有了操作其它进程的权限，可以尝试注入其它进程。

解码字符串获得三个进程的名称：taskhostw.exe、taskhost.exe、RuntimeBroker.exe，用于后续的进程注入。

RtlGetNativeSystemInformation 为 Windows 未公开的函数，通过逆向数据上下文及其参数可知，其第一个参数为0x5时代表查询的是SYSTEM_PROCESS_INFORMATION 结构体。

在每次解码完字符串后，会通过比较进程名称字符串的形式，找到对应进程的 Handle。

函数的返回值即为对应的进程的句柄。

拿到目标进的句柄后，尝试用 All Access 权限打开目标进程。

ZwOpenProcess 函数的第四个参数为 ClientID，为要打开进程的进程句柄 0xF7C，转换成十进制为 3964。该句柄对应的进程为系统进程  taskhostw.exe。

随后在目标进程内申请内存空间，将恶意代码写入目标进程空间内再执行。

执行注入在目标进程中的恶意代码。

下图为恶意代码的解码逻辑，从下图可以看出该段代码为了避免被安全软件检测，使用了 Decoding-Executing 技术，解码的大小为 0x136D4，解密区域即在当前代码循环的下一字节。

其会进行多次解码。

解码完毕后即开始通过 PEB 结构体获取载入的 DLL 模块的基址。

随后定位并加载两个 API 的函数地址，并再次解码一块区域用于后续的执行。

将当前进程的权限提升至 Debug 权限。

随后进行 HTTP 连接。

主动连接目标，目标路径带有较为明显的 CS 特征。

随后在一个循环中等待 CS 服务器下发指令，并每隔数十秒向 CS 服务器发送心跳包。