使用WindTerm工具针对IT运维人员的定向钓鱼样本分析

样本文件exe1_unpack.exe 程序：

exe1_unpack.exe 这个pe文件虽然是隐藏的，但是其大小与正常windterm的主程序大是相同的，对其两个pe文件简单对比就可以发现这个程序就是原本的主程序，hash是完全相同的；

尝试直接执行exe1_unpack.exe，windterm主程序正常执行；

样本文件WindTerm.exe主程序

时间戳被故意修改，在PE文件的解析中，编译器为Golang，而其github languages中并不包含golang的相关内容。

程序启动后，首先调用 os_Executable 来获取自身EXE的文件路径；

调用 main_ReadEncExeData 来读取内嵌于自身EXE的文件末尾中的其他数据；

数据格式如下：

EncExeData 的结构如下：

EncExeData 被读取到局部变量中，用于后续使用

KeyData 被读取到了 result.arr[24]

函数执行完毕以后返回给调用者：

Exe2Data 被读取到了 result.arr[12]

函数执行完毕以后返回给调用者：

Exe1Data 被读取到了 result.arr[0]

函数执行完毕以后返回给调用者：

Exe2Data 被读取到了 result.arr[12]

函数执行完毕以后返回给调用者：

Exe1Data 被读取到了 result.arr[0]

函数执行完毕以后返回给调用者：

当 main_ReadEncExeData 执行结束以后，

便会对 Exe1Data 和 Exe2Data 进行解密：

解密完以后，调用 main_UnpackAndRunGUI 将 Exe1Data 写出一个隐藏的文件 exe1_unpack.exe 然后运行，然后调用 main_ManualMapPE 和 main_ExecutePEEntry 内存加载 Exe2Data：

至此 WindTerm.exe 的任务算是结束了，使用创建进程启动了 Exe1Data 写出的 exe1_unpack.exe，它是原本的 WindTerm.exe，可以正常使用，让用户认为自己使用的是真正的WindTerm。而我们接下来需要关注的是被 main_ManualMapPE 执行的 Exe2Data。

我们将 Exe2Data 解密后的数据 Dump 到文件，命名为 exe2_unpack.exe，发现它依旧是一个Go语言编写的程序，反编译以后，我们可以看到这两个函数：

• goshellcodeloader_bookmark_Bookmark_Parse

• goshellcodeloader_goolepws_Goole

然后我们在函数列表搜索关键字 goshellcodeloader，会发现以下函数：

我们可以非常轻易的看出这是在窃取浏览器数据信息，从 goshellcodeloader_goolepws_Goole 函数中，我们可以进一步的发现它窃取的浏览器信息包括但不限于Chrome，Edge，360Chrome，360ChromeX，Brave，Opera，Vivald，CocCoc，QQBrowser，YandexBrowser，Sogou 等。

在 goshellcodeloader_goolepws_ProcessBrowserData 函数中，我们可以看到它将浏览器的数据发送。

在 goshellcodeloader_bookmark_SendDataToPHPScript 函数中，我们可以看到它将书签栏的数据发送。

发送浏览器数据的同时还会发送Host信息。

这个Shellcode会通过 CreateFileMapping 和 MapViewOfFile 映射到内存中，并且通过 TpAllocWork 和 TpPostWork 进行执行，从而绕过栈回溯检测。

动态分析 

在当前目录下创建一个exe1_unpack.exe文件，并设置为隐藏文件

C:UsersxxxxDesktopWindTerm_2.6.1exe1_unpack.exe

shellcode加载执行

创建了一个异常的线程来执行shellcode

检测到了shellcode自定位

遍历大量浏览器路径，尝试窃取浏览器密码及敏感信息

C:UsersadministratorAppDataLocalBraveSoftwareBrave-BrowserUser Data

C:UsersadministratorAppDataLocalChromiumUser Data

C:UsersadministratorAppDataLocalCocCocBrowserUser Data

C:UsersadministratorAppDataLocalGoogleChromeUser Data

C:UsersadministratorAppDataLocalMicrosoftEdgeUser Data

C:UsersadministratorAppDataLocalTencentQQBrowserUser Data

. . . . . .

(该模拟行为中仅安装了Edge浏览器)

在内存中加载PE文件

访问互联网，对获取到的信息进行回传

执行完上述所有行为后，启动正常的应用程序exe1_unpack.exe(被隐藏)

进程树 

ATT&CK

戎码AI攻击分析报告

关于此次事件，戎码翼龙AI产出的攻击分析报告。

此报告节选自戎码翼龙AI生成的攻击分析报告（全文报告共计17页）。戎码翼龙利用先进的生成式AI，一键输出攻击分析报告，有效解决告警不易读、高级威胁研判慢、易漏报等关键难题。其核心优势在于，整个分析过程完全自动化运行，无需任何人工介入，即可实时生成并导出详尽、结构化的威胁分析报告，对各类网络攻击行为进行深度剖析。

该报告能够精准揭示攻击者深藏的战略意图与所采用的战术手段。通过全方位、多层次的上下文关联与深度溯源分析，完整重现了攻击事件的发生过程，精准勾勒出攻击活动的全貌。在此过程中，戎码翼龙AI原生NG-EDR系统发挥了关键作用，构建了一幅从动机识别直至攻击路径逆向解析的全景视图。此视图以高度可视化方式呈现，赋能用户在纷繁复杂的网络环境中精准洞悉安全态势，迅捷制定并执行有效的防护策略，为应对各类复杂攻击情形提供强有力的决策支撑！