【A9】xred病毒感染事件

“A9 Team 甲方攻防团队，成员来自某证券、微步、青藤、长亭、安全狗等公司。成员能力涉及安全运营、威胁情报、攻防对抗、渗透测试、数据安全、安全产品开发等领域，持续分享安全运营和攻防的思考和实践。”

01

—

结束进程、删除启动项，将样本、日志打包并删除源文件

沙箱初步分析：

将样本上传至沙箱进行分析，主要行为有网络连接、文件释放、信息收集，未能。

Sysmon日志分析：

发现最早发起的时间是7/9，并且发起来源为一个程序的安装包，其余时间都是由系统的自启动任务运行。

查看这个安装包文件的运行动作路径，只释放了病毒文件并在注册表写入启动项，并无其它动作。结合来看可以发现主要的恶意行为还是由释放的Synaptics.exe执行。

与用户确认这个时间点正在给这台电脑装机，通过U盘拷贝了天擎客户端进行安装，与日志上的行为匹配。

病毒主要行为：

存在desktop、document、APPdata三个目录下文件遍历和可执行程序加载

dns请求

在desktop、document、APPdata、C:UserszhangnaAppDataLocalTemp这四个目录下不断创建.exe  .ioc  .xlsm格式的文件

这就是日志中大致的过程，但还不足以清楚这个病毒他是怎么进行感染和传播的。

由于已经有很多大佬分析过该病毒，跟着前辈们的思路深入分析一下。

代码使用Delphi7编写。

通过 SHGetSpecialFolderLocation和 SHGetPathFromIDListA来获取要感染的目录（清理工具的编写也会通过这种方式）。病毒会获取Desktop、Downloads和Documents的路径并递归感染子文件。

对于EXE文件，通过LoadLibrary加载到当前进程（病毒是32位的,所以只感染32位的EXE），根据其资源节“EXEVSNX”的情况，来进行对应的操作，这个资源节内的数据代表着版本号。

具体的感染流程是将原文件打包到病毒文件的资源节“EXERESX”中，病毒文件的图标被替换为原文件的图标，最后用病毒文件替换原文件。

当用户运行被掉包的EXE文件时，会释放出资源节"EXERESX"的原文件并运行，通过这样做到无感知运行。原文件会被释放到已 "._cache_"开头的文件中，文件属性被设置为 系统文件和隐藏文件，即使打开“显示隐藏文件的选项”也不会显示，“显示系统文件”的选项一般用户很少会打开。

对于xlsz文件的感染，是通过COM组件完成的，所以只有安装了Excel的机器才会被正确感染（清理工具也是利用COM组件来进行修复xlsx文件的）。病毒文件的资源节"XLSM"包含了恶意宏代码的xlsm文件。

病毒行为总结：

被感染机器的 C:ProgramData目录下会有Synaptics目录，其下包含原始的恶意样本，但是图标不固定（图标会更新为最近一次运行被感染exe文件的图标）。Desktop、Documents、Downloads目录下的32位EXE文件和xlsx文件都会被掉包，但是用户并不会有察觉。传播的方式是文件分享给他人时，造成其他计算机的感染。

如何快速进行恢复？

由于该病毒出现有一段时间，从微信、情报库、百度等搜索源中获取该病毒的分析报告，快速了解该病毒的执行逻辑与动作，寻找终端恢复的解决方案。

以下是在其他分析文章中找到的恢复工具：

https://github.com/forTheBest12138/RepairerForXredWorm