银狐最新攻击样本使用MSC文件传播

1.初始样本是一个MSC文件，如下所示：

2.该MSC文件内嵌了恶意JS脚本，如下所示：

3.从网上下载0day.xsl文件并加载执行，如下所示：

4.0day.xsl文件包含两个编码的stage数据，如下所示：

5.stage_2解码之后，包含一个PayLoad文件，如下所示：

6.该PayLoad创建相应的文件目录，如下所示：

7.拷贝相关的文件到指定目录，并创建计划任务自启动项，如下所示：

8.从远程服务器上下载文件保存到指定的目录下，如下所示：

9.解压缩Py.zip文件到指定的目录，如下所示：

10.重命名指定目录下的文件，并通过PowerShell进程从远程服务器下载恶意脚本并执行，如下所示：

11.下载的ps1.txt恶意脚本，如下所示：

12.解码之后的脚本，如下所示：

13.解密出来的ShellCode代码，如下所示：

14.在ShellCode代码尾部可以很明显的看到此前分析的“银狐”组织样本特征，如下所示：

15.连接远程服务器IP为118.107.42.233，返回加密的数据，如下所示：

16.返回的加密数据，如下所示：

17.异或解密加密的数据，如下所示：

18.解密之后，如下所示：

19.解密之后的PayLoad就是此前“银狐”样本的变种，导出函数与此前分析的变种样本一样，相关的代码也基本一样，就不重复分析了，如下所示：

20.Wd.exe调用执行同目录下的AutoHotkey脚本文件wd.ahk，如下所示：

21.调用Bandizip.exe解压缩Code.7z，解压缩密码为403team.，解压缩之后，通过python调用恶意Python脚本Code.jpg，如下所示：

22.Code.jpg脚本，从远程服务器上下载ShellCode数据，如下所示：

23.远程服务器URL为hxxp://comc0m.com/dan/118.107.42.233.bin，如下所示：

24.下载的ShellCode数据，加载到内存中执行，同时删除Code.jpg脚本，如下所示：

25.下载的ShellCode数据，如下所示：

26.ShellCode在内存中加载后面的PayLoad，PayLoad代码如下所示：

27.解析“银狐”样本的C2配置信息，如下所示：

28.包含的“银狐”样本的C2配置信息，如下所示：