多阶段攻击链深度解析：从JScript到双恶意软件的渗透路径

近期安全研究中，一条结构复杂、技术隐蔽的多阶段攻击链被成功捕获。该攻击链以高度混淆的脚本为初始入口，通过层层加载、加密传递与进程注入等技术手段，最终在目标系统中部署两种臭名昭著的恶意软件，形成“双重威胁”态势，其攻击链路的完整性与技术手段的成熟度值得重点关注。

攻击链全景：从初始载体到最终威胁的完整链路

这条攻击链呈现出清晰的“阶梯式”渗透特征，每一个阶段都承担着“承上启下”的关键作用，通过加密、编码与混淆技术切断溯源线索，最终实现恶意代码的持久化部署。其完整传播路径可概括为：

JScript下载器 → PowerShell脚本 → 反射加载器 → Blackhawk .NET注入器 → 注入RegAsm.exe进程 → FormBook恶意软件 → Agent Tesla v4恶意软件

这一链路中，攻击者将技术伪装与代码加载深度结合，每一层都针对防御体系的检测盲区设计，大幅提升了攻击的成功率与隐蔽性。

阶段拆解：层层突破的技术细节

第一阶段：混淆臃肿的JScript——攻击入口的“伪装外衣”

攻击链的初始载体是一个经过JSObfuscator工具深度混淆的JScript脚本。该脚本不仅代码逻辑被打乱，还通过冗余代码填充实现“臃肿化”处理，目的是规避静态检测工具的特征匹配与行为分析。

与普通恶意脚本不同，该JScript不直接执行破坏行为，而是承担“下载器”的核心功能——在目标系统环境满足条件后，通过预设的网络请求，从攻击者控制的服务器获取下一阶段的攻击载荷：一个经过AES加密与Base64编码双重保护的PowerShell脚本。双重加密机制确保了传输过程中载荷的机密性，即使被网络监测设备捕获，也难以直接解析其真实内容。

第二阶段：PowerShell脚本——载荷解密与加载的“中转站”

JScript下载的PowerShell脚本是攻击链的“核心枢纽”。该脚本内置AES解密算法与密钥，执行后首先对自身包含的Base64编码blob进行解密处理，还原出一个反射加载器。

值得注意的是，攻击者并未直接运行解密后的内容，而是通过PowerShell的Invoke-AssemblyMethod命令，以反射机制动态加载该Base64编码blob。这种反射加载方式能够绕开系统对可执行文件的常规权限校验，将代码加载到内存中直接执行，避免在磁盘上留下痕迹，显著降低了被终端安全软件发现的概率。

第三阶段：Blackhawk .NET注入器——进程注入的“核心武器”

通过反射加载还原的Base64 blob，本质上是经过Reactor混淆器处理的Blackhawk .NET注入器。Reactor混淆器的应用进一步增强了注入器的抗分析能力，使其代码结构难以被逆向工程师还原。

该注入器的核心功能是实现“进程空心化”攻击：它首先创建RegAsm.exe的进程实例（RegAsm.exe是微软官方的.NET程序集注册工具，具有较高的系统信任度，不易引发安全告警），随后清空该进程的内存空间，将预先嵌入的FormBook恶意软件载荷注入其中，最后修改进程上下文，使RegAsm.exe进程转而执行注入的恶意代码。选择RegAsm.exe作为注入目标，利用了系统对官方进程的信任机制，实现“借壳运行”的隐蔽效果。

需要特别说明的是，注入器中的FormBook载荷并非以常规二进制形式存储，而是被转换为十进制值编码，这种特殊的编码方式再次提升了载荷的隐蔽性，规避了基于文件特征的检测规则。

第四阶段：双恶意软件部署——攻击目标的“最终实现”

当RegAsm.exe进程被注入FormBook恶意软件后，攻击链进入最终的破坏阶段。FormBook作为一款成熟的信息窃取型恶意软件，能够监控目标系统的键盘输入、截取屏幕画面、窃取浏览器缓存与表单数据等敏感信息。

但攻击者的意图并未止步于信息窃取。FormBook执行后，会进一步从攻击者的C2服务器下载并部署Agent Tesla v4恶意软件。Agent Tesla是另一款功能强大的远程控制与信息窃取工具，其v4版本在持久化技术上更为成熟——能够通过修改系统注册表启动项、创建计划任务等方式，确保恶意软件在目标系统重启后依然能够正常运行，从而实现对受害者系统的长期控制。

攻击链特征总结与防范启示

这条攻击链集中体现了当前高级威胁攻击的典型特征：以“多层伪装+内存加载”规避检测，以“官方进程借壳”实现隐蔽执行，以“双恶意软件联动”强化攻击效果。其技术设计环环相扣，每一个环节都针对防御体系的薄弱点进行突破，给企业与个人用户的安全防护带来严峻挑战。

针对此类多阶段攻击，安全防护应从“单点防御”转向“全链路监测”：一是加强对JScript、PowerShell等脚本文件的动态行为监控，重点关注异常的网络请求与反射加载行为；二是强化对系统进程的完整性校验，及时发现RegAsm.exe等官方进程的内存异常修改；三是建立恶意软件特征库的实时更新机制，覆盖FormBook、Agent Tesla等已知威胁的最新变种；四是提升用户安全意识，避免打开来源不明的邮件附件与链接，从源头切断攻击入口。

原文始发于微信公众号（TtTeam）：多阶段攻击链深度解析：从JScript到双恶意软件的渗透路径