RustDog钓鱼木马横行

在刚刚过去的2023年上半年中，针对财务人员的RustDog钓鱼木马始终活动频繁。而就在近期，360安全大脑再次监测到该钓鱼木马活跃度进一步提升——据360终端安全产品的大数据日志统计——360各类安全产品日均阻断该木马攻击已达数千次。

RustDog钓鱼木马因其早期版本由Rust语言编写而得名。其背后的团伙是一个专门针对企业员工发起钓鱼攻击的组织，该团伙一般以涉税相关内容作为钓鱼文件标题（如“2023减免企业及个人所得税最新标准”）来迷惑潜在的攻击目标，同时擅长利用powershell、cmstp等LOLBINs完成部分入侵功能。而一旦攻击成功，攻击者会在受害机器中植入远控木马，对受害用户进行远程控制并伺机窃取用户数据。

近期传播愈发猖獗

最近，该团伙再次通过钓鱼网页、即使通讯工具、邮箱等传播方式进行大范围攻击。攻击者通过上述媒介构建的虚假页面诱导用户点击钓鱼链接，再通过连接跳转至后门木马的下载链接。一旦用户中招，攻击者便会通过后门木马下发远控程序，进而控制受害者的电脑。此外，攻击者还会利用远控木马控制用户的即时通讯软件再次传播木马，对用户造成极大的连带损失。

图1 攻击者伪造的虚假“诺诺网”钓鱼页面

近期传播的该家族木马名称中时常有类似于“fapiao (1).zip”、“2023-07-07 清单.rar”、“关于公司薪资调整通过相关部门审核.exe”等的字样。同时，木马在传播对抗中也使用到了多款远程控制工具——包括Gh0st远控变种、修改版向日葵远程协助工具和超级网控等，并在此基础上频繁的更新钓鱼页面。

图2 攻击者伪造的虚假“国家税务总局”钓鱼页面

样本技术分析

下面以近期捕获到的该家族木马的其中一个为例，进行技术层面的分析：

样本MD5：4b45026b5faeb8d744f0b141a5772fee

图3 样例样本图标

初始化及基本功能

木马一经启动，首先会完成一系列检查与初始化。这之后，代码会连接CC服务器：43.132.194.41:1150

连接成功后，木马会尝试接收从该服务器中下放的payload内容并进行加载执行。执行后的payload会在内存中解密出一个dll文件——该dll则是一个具有完整功能的远控木马。而有趣的是，在该dll运行时，其代码会检测360Tray.exe进程是否存在——如果存在，则会弹一个应用程序错误的窗口，用于迷惑用户。