中年|从数百个URL下载Payload：新型Dridex木马变种分析 |木马|变种|

一、概述
在几天之前， FortiGuard实验室捕获了一个网络钓鱼活动，其中的电子邮件附件包含恶意Microsoft Excel文档，用于传播Dridex的新变种。 Dridex是一种木马恶意软件，也称为Bugat和Cridex ，它可以从受感染的计算机中窃取受害者的网上银行和系统信息。
我对Excel文档和Excel文档中的恶意宏下载的Dridex Payload文件进行了深入分析。在这篇文章中，我们将重点关注恶意宏如何下载Dridex ， Dridex Payload如何启动，恶意软件用于执行反分析的技术，以及从受害者的计算机中收集了哪些信息、如何收集信息、如何发送到C2服务器。
二、恶意Excel分析
我在本地的邮件客户端中打开后，下图展示了检测到的钓鱼邮件。该邮件伪装成付款请求邮件，其中包含恶意仿冒的Excel发票文件。一旦受害者双击附件， Microsoft Office Excel就会打开它。
网络钓鱼邮件内容：

本文插图

除了附件之外，电子邮件正文中还包含超链接。如果点击超链接，同样会下载相同的Excel文件。

如下图所示， Microsoft Excel显示出安全警告的黄色提示信息，这意味着打开的文件包含有风险的活动内容，例如VBA宏。但是，一旦受害者点击了“启用内容”按钮，危险内容就会被加载，甚至自动执行。 Excel文档故意在文件中显示模糊的发票，以促使受害者单击按钮，以更清楚地查看发票。
在Office Excel进程中打开附件：

本文插图

根据我的分析，这个文件包含恶意宏（VBA代码），可以通过两种方式执行宏。第一种是通过单击绿色的“All-Open and pay”按钮来执行恶意VBA代码。另一种方法是，当发生Layout事件时，它具有私有的Formsa_Layout()函数来处理执行恶意VBA代码的事件。当受害者处理文件时，这类布局事件会发生多次。
打开受保护的VBA项目时弹出的信息：

本文插图

VBA代码受到密码和特殊属性的保护。当用户尝试查看VBA项目时，它将弹出警告消息，如上图所示。修改其二进制文件可以绕过保护检测。通过查看VBA代码，我发现它能够解码并运行一段动态VBA代码，其中包含从大约290个编码的下载URL中随机选择的URL 。这些下载URL在Excel文档的第一个Sheet中进行了编码和隐藏，其字体颜色设置为白色，与背景颜色相同。
在下图中，展示了从单元格序号A720开始的部分编码URL列表，已经将其字体颜色重新设置为黑色。
数百个编码的下载URL：

本文插图

其中，有一个名为printerSave()的函数，该函数对字符串中的动态VBA代码进行解码，然后在API函数ExecuteExcel4Macro()中执行该函数。
如下图所示，在调用repl()函数之后， ExecuteExcel4Macro()接收到一个字符串参数，该参数时解码后的VBA代码。为了让我们能更好地理解代码，我在“Immediate”子窗口中打印了所有已经解码的动态VBA代码。
解码后的代码下载并执行Dridex Payload：

本文插图

如果大家熟悉VBA代码，可以看到这里会创建两个使用随机字符串名称的文件夹（“J1fljSfQ”和“QVluls2”）。然后，它将290个URL中的一个，这里是“https[:]//umeskin[.]com/4i1sgz[.]pdf”下载到本地文件，命名为“bLAZ6Ji” 。该文件位于文件夹“C:J1fljSfQQVluls2”中。这个本地文件的文件名也是随机生成的。
最后一行使用带有参数“-s”的进程“regsvr32.exe”启动下载的文件。下载的文件时Dridex的Payload 。因此，这个Excel文档实质上就是Dridex的下载工具。
三、提取Dridex和导出函数分析
Dridex在regsvr32.exe进程中执行，该进程是Windows的命令行实用程序进程，用于在操作系统注册表中注册/注销DLL和ActiveX控件。下载的Dridex有效负载文件是这些DLL文件之一。下图展示了在regsvr32.exe中运行Dridex进程树的屏幕截图。
在regsrv32.exe中运行Dridex的进程树：

本文插图

Regsvr32.exe加载Dridex Payload ，并调用DllEntryPoint()函数以执行初始化工作。

其中包含7B600H大小的加密数据块，包括数据和代码。恶意软件将其解密，并提取到新创建的内存缓冲区中。然后，跳转到解密的代码，其地址已经加载到EAX中。整个过程看起来像是一个解压缩的过程。下图展示了如何跳转到提取的代码。
执行提取的代码之前的内容：

本文插图

代码执行时，会解密并提取一个完整的PE文件（即Dridex核心模块）到内存中。然后，将PE文件部署到可执行空间中。这个过程就如同Windows操作系统加载要执行的EXE文件一样，包括复制到相对虚拟地址（RVA）、加载导入的API、调整重定位数据等等。
完成上述所有工作后，最终会通过一段ASM代码，调用提取的PE的入口点函数，如下图所示。这里使用了ASM代码“push edx”和“retn” ，类似于“jmp dex” 。
跳转到Dridex核心模块的入口点：

本文插图

【中年|从数百个URL下载Payload：新型Dridex木马变种分析】经过上述两次解压缩后， Dridex核心模块现在就已经出来了。
通过分析Dridex核心模块，我们发现其中有两个导出函数，分别是DllEntryPoint()和DllRegisterServer() 。前者是上图中被调用的函数。

通过regsvr32.exe注册的每个DLL文件都必须提供一个名为DllRegisterServer()的导出函数。根据MSDN ，这个函数用于“指示进程内服务器为这个服务器模块中支持的所有类创建其注册表项” 。
我们现在仍然在分析regsvr32.exe最初调用的函数DllEntryPoint() 。在核心Dridex的入口点函数中，会执行一些初始化工作。当regsvr32.exe从该函数接收到“1”时，表示初始化工作已经成功完成。然后， regsvr32.exe调用API GetProcAddress()来查找名称为DllRegisterServer()的导出函数。下图展示了regsvr32.exe调用API GetProcAddress()时从核心Dridex获取导出函数DllRegisterServer()时的截图。
regsvr32.exe调用GetProcAddress()以获取DllRegisterServer()：

本文插图

四、Dridex使用的反分析技术
Dridex开发人员将所有恶意工作都放入函数DllRegisterServer()中，该函数可以被视为其他正常进程的Main()函数。
我们在核心Dridex中观察到许多反分析技术，以防止研究人员对其代码进行分析。在这一章中，我将介绍其中的一些反分析技术。
4.1 隐藏的API
大多数Windows API函数都是隐藏的，会在调用之前对其进行检索。这给静态分析带来了更多困难。其中的一个函数（在本文中称为GetAPIByHash()）通过其哈希值检索API 。

检索API RegEnumKeyW()的示例：

本文插图

上图显示了GetAPIByHash()（需要两个参数）检索API RegEnumKeyW()的示例。第一个是名为ADVAPI32.DLL（全部为大写）的模块CRC32编码并与常数6AECC489h进行异或后的哈希值（68EFDF75h）。第二个是名为RegEnumKeyW的API CRC32编码并与常数6AECC489h进行异或后的哈希值（0A7373679h）。
在这里， RegEnumKeyW经过CRC32编码后的结果是CDDBF2F0H ，再与6AECC489h进行异或，得到0A7373679h 。
GetAPIByHash()会枚举指定模块中的所有API ，通过比较传入参数中的哈希值来发现API 。如果匹配，将使用EAX返回API地址。
4.2 字符串加密
在整个核心Dridex中都对密钥的字符串进行了加密。因此，分析人员无法通过在内存空间中搜索密钥字符串的方式来找到密钥。就如同隐藏的API一样，字符串在使用前会被解密。下图是解密Unicode字符串“POST”的示例。函数813B00是具有三个参数的解密函数。 ECX是要解密的字符串的索引（GET为0 ， POST为1）。 8296D0指向加密字符串的缓冲区。
解密“POST”的示例：

本文插图

五、生成调用API的异常

该恶意软件不仅隐藏API ，在调用这些隐藏的API时也会使用一些技巧。在代码的底部，包含ASM代码“int 3” ，它会生成一个异常，代码为80000003（BREAKPOINT陷阱），将会终端执行并等待直到异常被处理。
Dridex还在其入口点函数中设置了一个异常处理程序（类似于Try – Catch这样的本地函数）。为此，它调用API RtlAddVectoredExceptionHandler() ，将本地函数添加为异常处理程序。这样一来，每当Dridex导致任何异常时，都会首先调用这个局部函数来进行处理。
调用本地异常处理程序时，在参数中是一个数据_EXCEPTION_RECORD ，其中包含异常信息和一个上下文结构，该结构具有异常处所有寄存器的值，其中EAX寄存器保存了被调用的API 。然后，它将EAX值压入栈中，并修改其他寄存器的值，例如EIP和ESP 。在函数结束时，会返回0FFFFFFFFh（-1），表示EXCEPTION_CONTINUE_EXECUTION ，高速系统适用修改后的值恢复整个寄存器。最后，它从异常行的下一行运行该进程，在这一行中会使用带有自变量的参数从栈中调用这个API ，所有这些API在异常发生之前被压入栈中。
这就是Dridex如何使用异常调用API的完整过程描述。下图展示了本地异常处理程序函数。
本地异常处理程序函数的部分代码：

本文插图

除此之外，如果使用执行单步跟踪的调试器加载Dridex ，则它可以生成EXCEPTION_SINGLE_STEP异常（代码80000004）。本地异常处理程序可以识别这个异常，并修改寄存器的值，以导致Dridex崩溃，从而保护自身免受分析和调试。
六、将收集的信息发送到C2服务器
在DllRegisterServer()函数中， Dridex会从受害者的计算机收集信息，然后将信息发送到其C2服务器。在这一章，我将解释Dridex是如何实现的。
首先，它获取受害者的用户名和完整计算机名。然后，从系统注册表中读取Windows的安装时间，并将上述值组合在一起，计算出组合后的MD5值。数据包的第一部分（2Fh长度）由数据长度+计算机名称+MD5值组成。然后，它将通过调用API GetVolumeInformationW()来获取VolumeInformation数据（20h长度的十六进制值）附加到数据包缓冲区中。接下来数据是常量值“29 3B”和使用API GetVersion()获取到的系统版本组合而成的dword 。 “18F8C844h”是附加到数据包中的数据包ID 。要获取更详细的信息，可以参考下文。

Dridex从受害者的系统注册表中收集所有已经安装的软件信息。它从注册表“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstall”中枚举所有子项，从中读取出DisplayName和DisplayVersion值。在“Uninstall”下，包含所有已安装的软件注册表信息，以供卸载时使用。
例如，读取的7-Zip信息是“7-Zip 18.05 (18.05)” ，如下图所示。
已安装的7-Zip子项信息：

本文插图

长度（以网络字节顺序排列的dword）和整个收集的软件信息将会被附加到数据包中。
数据包的最后一部分，来自受害者的系统环境变量。为此， Dridex调用API GetEnvironmentStringsW() ，该API返回指向包含环境变量的内存块的指针，然后将它们格式化，并附加到数据包中，放在收集到的软件信息之后。
下图展示了数据包的概况，其中红色下划线标出的是按照网络字节顺序排列的数据长度，用蓝色竖线分隔的值是我之前解释过的数据字段。
Dridex从测试环境中收集数据：

本文插图

整个收集的数据都使用RC4算法进行加密，以在传输过程中对其进行保护。这意味着，最终的数据包将以整个密文数据的dword CRC32值开头，然后就是密文。

以二进制形式显示硬编码的C2服务器IP和端口：

本文插图

如上图所示， Dridex变种包含4个以二进制形式进行硬编码的C2服务器。 Dridex重复向它们发送最终的数据包，直到收到HTTP状态为“200 OK”的响应数据包为止。
为此，它将调用如下API：InternetOpenA()、InternetConnectW()、HttpOpenRequestW()、HttpSendRequestW()和InternetReadFile() ，所有这些API都使用GetAPIByHash()进行检索。
到目前为止，我们还没有接收到来自C2服务器的“200 OK”响应。因此，我们暂不清楚Dridex恶意活动中还包含哪些其他的任务。我们会持续对其进行监控。
七、总结
通过本文的分析，我们了解到这个Dridex变种是如何通过网络钓鱼邮件进行传播的，并详细分析了Excel文档中的恶意宏是如何从数百个URL中挑选一个并下载Dridex Payload的。在这里，我还解释了regsvr32.exe中Payload的加载过程，以及Dridex使用了哪些技术保护自己免受分析。最后，我演示了如何从受害者的计算机中收集信息，如何获取这些信息，以及如何处理数据并将其发送到C2服务器。
八、防护方法
通过使用Web过滤、反病毒和CDR产品，可以防范Dridex变种的威胁。

其中，下载URL已经被FortiGuard Web过滤服务判定为“恶意网站” 。
Excel文档和下载的Payload文件被FortiGuard反病毒产品检测为“VBA/Dridex.TWY!tr”和“W32/Dridex.TWY!tr” 。
FortiMail用户同样会受到FortiGuard反病毒产品的保护，反病毒产品将检测到恶意Excel文档，并进一步使用CDR服务进行保护，以阻挡Office文档中恶意宏的威胁。
九、威胁指标
9.1 URL

hxxps://helasverigesamlas[.]se/ukef26.txthxxps://helasverigesamlas[.]se/y0bvsc.pdfhxxps://bobbydhillonfilmdirector[.]com/ib9tfm.txthxxps://lescousettesdewouavie[.]com/p8yljj.txthxxps://zajacwogrodzie[.]pl/ge9arn.txthxxps://lescousettesdewouavie[.]com/x4mkyo.pdfhxxps://zajacwogrodzie[.]pl/v7f6l4.pdfhxxps://helasverigesamlas[.]se/fojik1.rarhxxps://bobbydhillonfilmdirector[.]com/e6xbxo.pdfhxxps://gds-korea[.]com/j7sumb.txthxxps://lescousettesdewouavie[.]com/legxmb.rarhxxps://bobbydhillonfilmdirector[.]com/nqd7dd.rarhxxps://zajacwogrodzie[.]pl/knpyhq.rarhxxps://policelifeline[.]in/3zqpkh.txthxxps://limitlessadviser[.]com/1zg5cb.txthxxps://plasconpackaging[.]co.uk/5v3k2o.txthxxps://helasverigesamlas[.]se/g8mtcq.rarhxxps://nativated[.]com/xtfi4j.txthxxps://lovecryst[.]com/rkhmzt.txthxxps://malaysia.hadatha[.]net/wpn57i.txthxxps://ayobergerak[.]id/uvtvur.txthxxps://vimacorrugados[.]com.mx/ine9y1.txthxxps://juiceslam[.]com/js6tlz.txthxxps://mengshuzhai[.]com/bupcqu.rarhxxps://musei.basilicata.beniculturali[.]it/j3wbla.txthxxps://lescousettesdewouavie[.]com/khp6tv.rarhxxps://m.am-clinica[.]ru/egqrzg.txthxxps://bobbydhillonfilmdirector[.]com/yujwl6.rarhxxps://helasverigesamlas[.]se/5sdkiq.pdfhxxps://satyasumamarketers[.]in/u7sjvs.txthxxps://zajacwogrodzie[.]pl/r0n2ad.rarhxxps://plasconpackaging[.]co.uk/9srpo9.pdfhxxps://limitlessadviser[.]com/ccokdx.pdfhxxps://dreamerrs[.]com/erjawd.txthxxps://lescousettesdewouavie[.]com/ocqzrj.pdfhxxps://lovecryst[.]com/3kjg9x.pdfhxxps://helasverigesamlas[.]se/goueak.pdfhxxps://bobbydhillonfilmdirector[.]com/2oyr8b.pdfhxxps://policelifeline[.]in/uhdyoc.pdfhxxps://malaysia.hadatha[.]net/beysbq.pdfhxxps://vimacorrugados[.]com.mx/h3zlwl.pdfhxxps://gds-korea[.]com/6gczpy.rarhxxps://zajacwogrodzie[.]pl/qkjtlj.pdfhxxps://limitlessadviser[.]com/gvcr6i.rarhxxps://musei.basilicata.beniculturali[.]it/kupdkk.pdfhxxps://ayobergerak[.]id/xh9gpx.pdfhxxps://lescousettesdewouavie[.]com/oeyq8b.pdfhxxps://plasconpackaging[.]co.uk/e6x6d4.rarhxxps://m.am-clinica[.]ru/1n5pyb.pdfhxxps://bobbydhillonfilmdirector[.]com/rbcvdl.pdfhxxps://lovecryst[.]com/85lh50.rarhxxps://helasverigesamlas[.]se/1pjfdo.rarhxxps://dreamerrs[.]com/q27mzd.pdfhxxps://zajacwogrodzie[.]pl/fdsvdi.pdfhxxps://helasverigesamlas[.]se/ih22hv.pdfhxxps://limitlessadviser[.]com/d54nnr.rarhxxps://lescousettesdewouavie[.]com/2k0ncn.rarhxxps://nativated[.]com/dsczgy.rarhxxps://gds-korea[.]com/7aumml.rarhxxps://mengshuzhai[.]com/7aqvw0.pdfhxxps://bobbydhillonfilmdirector[.]com/pfxahf.rarhxxps://helasverigesamlas[.]se/n7splg.rarhxxps://lovecryst[.]com/2y9dum.rarhxxps://musei.basilicata.beniculturali[.]it/s7bt9w.rarhxxps://plasconpackaging[.]co.uk/92icz9.rarhxxps://zajacwogrodzie[.]pl/qpipqx.rarhxxps://ayobergerak[.]id/arebeo.rarhxxps://lescousettesdewouavie[.]com/pthz9d.pdfhxxps://helasverigesamlas[.]se/4qdibt.txthxxps://limitlessadviser[.]com/2w2ks3.pdfhxxps://satyasumamarketers[.]in/wpe2b1.rarhxxps://mengshuzhai[.]com/bxjotq.pdfhxxps://m.am-clinica[.]ru/n73qhk.rarhxxps://dreamerrs[.]com/5hftea.rarhxxps://bobbydhillonfilmdirector[.]com/h3uqyd.pdfhxxps://lescousettesdewouavie[.]com/egee1u.rarhxxps://plasconpackaging[.]co.uk/wqnehw.pdfhxxps://umeskin[.]com/llqzxb.txthxxps://lovecryst[.]com/fefpbd.pdfhxxps://helasverigesamlas[.]se/o9y2f3.jpghxxps://gds-korea[.]com/w2voij.pdfhxxps://zajacwogrodzie[.]pl/6fcdud.pdfhxxps://nativated[.]com/lazp9f.rarhxxps://limitlessadviser[.]com/tfqegv.pdfhxxps://bobbydhillonfilmdirector[.]com/uuj9jc.rarhxxps://musei.basilicata.beniculturali[.]it/igmysc.rarhxxps://malaysia.hadatha[.]net/zrxrqy.rarhxxps://dreamerrs[.]com/c2igom.rarhxxps://juiceslam[.]com/kllmw3.rarhxxps://helasverigesamlas[.]se/bca1ww.rarhxxps://ayobergerak[.]id/8ikgkh.rarhxxps://lescousettesdewouavie[.]com/rmlxyi.txthxxps://satyasumamarketers[.]in/px8ddp.rarhxxps://plasconpackaging[.]co.uk/2fz42f.pdfhxxps://m.am-clinica[.]ru/jgyual.rarhxxps://zajacwogrodzie[.]pl/jrmuk7.rarhxxps://bobbydhillonfilmdirector[.]com/dtrwi4.txthxxps://helasverigesamlas[.]se/plr6yv.jpghxxps://mengshuzhai[.]com/plzi5h.pdfhxxps://gds-korea[.]com/nmluap.pdfhxxps://nativated[.]com/lr25xt.pdfhxxps://limitlessadviser[.]com/3scwyr.rarhxxps://lescousettesdewouavie[.]com/ckqfw9.jpghxxps://lovecryst[.]com/4lzzhj.pdfhxxps://helasverigesamlas[.]se/ucjv9u.txthxxps://malaysia.hadatha[.]net/ajlfui.pdfhxxps://bobbydhillonfilmdirector[.]com/vgr6ow.jpghxxps://musei.basilicata.beniculturali[.]it/y2mbjv.pdfhxxps://zajacwogrodzie[.]pl/upa3jg.txthxxps://ayobergerak[.]id/2td7dc.pdfhxxps://helasverigesamlas[.]se/khrvax.txthxxps://mengshuzhai[.]com/or7xje.rarhxxps://dreamerrs[.]com/lj00wc.pdfhxxps://lescousettesdewouavie[.]com/lm88em.rarhxxps://plasconpackaging[.]co.uk/pypzaj.rarhxxps://m.am-clinica[.]ru/ksshm8.pdfhxxps://bobbydhillonfilmdirector[.]com/dzcqk9.rarhxxps://satyasumamarketers[.]in/3ayj2v.pdfhxxps://helasverigesamlas[.]se/cmwtcv.txthxxps://zajacwogrodzie[.]pl/qbvt7o.jpghxxps://limitlessadviser[.]com/gcbomc.pdfhxxps://nativated[.]com/b4rpqe.pdfhxxps://lovecryst[.]com/obyxwn.rarhxxps://gds-korea[.]com/6vvyvy.rarhxxps://mengshuzhai[.]com/caozwy.txthxxps://malaysia.hadatha[.]net/v7hqvb.pdfhxxps://lescousettesdewouavie[.]com/w25bjz.jpghxxps://zajacwogrodzie[.]pl/zdchkl.rarhxxps://bobbydhillonfilmdirector[.]com/itfonf.jpghxxps://ayobergerak[.]id/uq8fpu.pdfhxxps://dreamerrs[.]com/sao43r.pdfhxxps://musei.basilicata.beniculturali[.]it/kpesan.pdfhxxps://juiceslam[.]com/xqhnoc.pdfhxxps://lescousettesdewouavie[.]com/clhvma.txthxxps://zajacwogrodzie[.]pl/n8orwp.jpghxxps://lovecryst[.]com/dl3yr3.pdfhxxps://gds-korea[.]com/czqfpm.pdfhxxps://m.am-clinica[.]ru/l0qcdb.pdfhxxps://bobbydhillonfilmdirector[.]com/tqlwgh.txthxxps://mengshuzhai[.]com/eqlbuj.jpghxxps://nativated[.]com/8chckx.rarhxxps://limitlessadviser[.]com/9ekq6i.txthxxps://lescousettesdewouavie[.]com/petr84.txthxxps://ayobergerak[.]id/rnoihf.rarhxxps://lovecryst[.]com/a96qmc.rarhxxps://zajacwogrodzie[.]pl/ab9uer.txthxxps://plasconpackaging[.]co.uk/t774od.rarhxxps://bobbydhillonfilmdirector[.]com/namexs.txthxxps://dreamerrs[.]com/y1efzu.rarhxxps://mengshuzhai[.]com/uhrahv.rarhxxps://limitlessadviser[.]com/thbutn.jpghxxps://musei.basilicata.beniculturali[.]it/veoyu1.rarhxxps://m.am-clinica[.]ru/n9vpzt.rarhxxps://lescousettesdewouavie[.]com/cyijck.txthxxps://gds-korea[.]com/v5teug.rarhxxps://zajacwogrodzie[.]pl/il6hlg.txthxxps://umeskin[.]com/axbky9.rarhxxps://bobbydhillonfilmdirector[.]com/jejv9v.txthxxps://americanhomedoctors[.]com/nvu6yj.txthxxps://ayobergerak[.]id/wq9dek.pdfhxxps://mengshuzhai[.]com/lbdcxn.jpghxxps://limitlessadviser[.]com/obawsh.rarhxxps://zajacwogrodzie[.]pl/bu7wnz.txthxxps://dreamerrs[.]com/wlrh5p.pdfhxxps://juiceslam[.]com/3swseh.pdfhxxps://plasconpackaging[.]co.uk/quie2e.txthxxps://m.am-clinica[.]ru/6t6q7a.pdfhxxps://malaysia.hadatha[.]net/yyx51c.pdfhxxps://musei.basilicata.beniculturali[.]it/b7i904.pdfhxxps://nativated[.]com/5yr9lu.rarhxxps://mengshuzhai[.]com/yqhge9.txthxxps://americanhomedoctors[.]com/clpldk.pdfhxxps://limitlessadviser[.]com/yi10g3.jpghxxps://malaysia.hadatha[.]net/fjbims.rarhxxps://ayobergerak[.]id/rzpfra.rarhxxps://dreamerrs[.]com/gai3zz.rarhxxps://juiceslam[.]com/qrm1n9.rarhxxps://m.am-clinica[.]ru/5kdjmx.rarhxxps://plasconpackaging[.]co.uk/z0b0xa.jpghxxps://umeskin[.]com/4i1sgz.pdfhxxps://malaysia.hadatha[.]net/uhcvkd.txthxxps://americanhomedoctors[.]com/u3jc7q.rarhxxps://limitlessadviser[.]com/567z4r.txthxxps://nativated[.]com/7ineq7.txthxxps://mengshuzhai[.]com/mnljwc.txthxxps://musei.basilicata.beniculturali[.]it/fvvqqs.rarhxxps://ayobergerak[.]id/svhsrj.txthxxps://satyasumamarketers[.]in/0m1hcn.pdfhxxps://lovecryst[.]com/gjtdqm.jpghxxps://juiceslam[.]com/va0pr7.txthxxps://mengshuzhai[.]com/21s5dk.txthxxps://americanhomedoctors[.]com/zhredi.rarhxxps://limitlessadviser[.]com/felysh.txthxxps://m.am-clinica[.]ru/6swgox.txthxxps://nativated[.]com/m681f6.jpghxxps://ayobergerak[.]id/2lftdo.jpghxxps://plasconpackaging[.]co.uk/tqew67.rarhxxps://gds-korea[.]com/nzsa2r.rarhxxps://malaysia.hadatha[.]net/xxfmbb.jpghxxps://musei.basilicata.beniculturali[.]it/yz193v.txthxxps://lovecryst[.]com/hiyv3r.rarhxxps://caissefamilylaw[.]com/wepe4o.txthxxps://nativated[.]com/blkhax.rarhxxps://limitlessadviser[.]com/awunl8.txthxxps://gds-korea[.]com/phxu3e.jpghxxps://juiceslam[.]com/sobkyn.jpghxxps://plasconpackaging[.]co.uk/4kli3j.jpghxxps://lovecryst[.]com/6ztj1b.jpghxxps://ayobergerak[.]id/7qxwgf.rarhxxps://malaysia.hadatha[.]net/5ecazk.rarhxxps://m.am-clinica[.]ru/wqsxbh.jpghxxps://caissefamilylaw[.]com/iufrd8.pdfhxxps://nativated[.]com/gvni7l.jpghxxps://lovecryst[.]com/lmomof.txthxxps://juiceslam[.]com/ydvqrh.rarhxxps://musei.basilicata.beniculturali[.]it/cdu5wf.jpghxxps://gds-korea[.]com/rvuyar.txthxxps://americanhomedoctors[.]com/s5qy9y.pdfhxxps://m.am-clinica[.]ru/pounyb.rarhxxps://plasconpackaging[.]co.uk/hhz1qm.txthxxps://ayobergerak[.]id/f0h5ie.jpghxxps://malaysia.hadatha[.]net/npegid.jpghxxps://lovecryst[.]com/euuufi.txthxxps://dreamerrs[.]com/mv9tgh.jpghxxps://nativated[.]com/6k6aua.txthxxps://juiceslam[.]com/6pyyik.jpghxxps://americanhomedoctors[.]com/li1ove.rarhxxps://m.am-clinica[.]ru/sp9raz.jpghxxps://caissefamilylaw[.]com/opwspg.rarhxxps://gds-korea[.]com/vh0xwe.txthxxps://lovecryst[.]com/aqj2h2.txthxxps://musei.basilicata.beniculturali[.]it/jdpst4.rarhxxps://malaysia.hadatha[.]net/smur2v.txthxxps://ayobergerak[.]id/zc7ifi.txthxxps://dreamerrs[.]com/sdyb3e.rarhxxps://plasconpackaging[.]co.uk/3y5ef0.txthxxps://americanhomedoctors[.]com/kh7b3t.pdfhxxps://nativated[.]com/33b2s3.txthxxps://gds-korea[.]com/9zjyth.txthxxps://juiceslam[.]com/djspsy.txthxxps://m.am-clinica[.]ru/h82tkk.txthxxps://ayobergerak[.]id/2esx1t.txthxxps://satyasumamarketers[.]in/cb9met.jpghxxps://malaysia.hadatha[.]net/q170rq.txthxxps://musei.basilicata.beniculturali[.]it/sl5qbv.jpghxxps://vimacorrugados[.]com.mx/gvv8mm.jpghxxps://plasconpackaging[.]co.uk/9lgfbu.txthxxps://dreamerrs[.]com/qvtlvd.jpghxxps://americanhomedoctors[.]com/pgnaq4.rarhxxps://caissefamilylaw[.]com/haxztp.rarhxxps://nativated[.]com/41tihp.txthxxps://m.am-clinica[.]ru/ecnosl.txthxxps://ayobergerak[.]id/nvzzdp.txthxxps://malaysia.hadatha[.]net/x6duub.txthxxps://umeskin[.]com/hc56ql.rarhxxps://satyasumamarketers[.]in/xovuli.rarhxxps://dreamerrs[.]com/0xil1h.txthxxps://musei.basilicata.beniculturali[.]it/2ogr8k.txthxxps://americanhomedoctors[.]com/eso7ky.txthxxps://vimacorrugados[.]com.mx/htbd13.rarhxxps://m.am-clinica[.]ru/xhqgzb.txthxxps://juiceslam[.]com/mioi9l.txthxxps://satyasumamarketers[.]in/grnmal.jpghxxps://dreamerrs[.]com/rmtmuq.txthxxps://vimacorrugados[.]com.mx/ncmdpv.jpghxxps://satyasumamarketers[.]in/v5jxaz.txthxxps://musei.basilicata.beniculturali[.]it/9exj0e.txthxxps://dreamerrs[.]com/f0pzfy.txthxxps://satyasumamarketers[.]in/iesytp.txthxxps://vimacorrugados[.]com.mx/3qqbjr.txthxxps://musei.basilicata.beniculturali[.]it/sbnhzv.txthxxps://satyasumamarketers[.]in/yxzbeq.txthxxps://policelifeline[.]in/9hapi2.rarhxxps://policelifeline[.]in/heno5b.jpghxxps://caissefamilylaw[.]com/rusjrs.pdfhxxps://umeskin[.]com/x13p7x.jpghxxps://caissefamilylaw[.]com/6alzup.rarhxxps://caissefamilylaw[.]com/w41fok.txthxxps://caissefamilylaw[.]com/iu8gld.jpghxxps://caissefamilylaw[.]com/oj9fkj.rarhxxps://caissefamilylaw[.]com/vrpatn.jpghxxps://americanhomedoctors[.]com/mz2gnd.jpghxxps://caissefamilylaw[.]com/8ohgs5.txthxxps://umeskin[.]com/htiowj.txthxxps://americanhomedoctors[.]com/fxqqib.txthxxps://americanhomedoctors[.]com/8ejdob.txthxxps://caissefamilylaw[.]com/pdrnkg.txthxxps://americanhomedoctors[.]com/botpcr.txthxxps://caissefamilylaw[.]com/qy2d5q.txt
9.2 样本SHA-256
Excel文档：
519312A969094294202A2EBE197BB4C563BA506FFFBD45000F0F9CC2923695CE
Dridex Payload：
3F5AC9186AF10E92859996A4A778CD9C56828A68BE6C8CAA42BC449C745A8BAA
十、参考链接
[1] https://en.wikipedia.org/wiki/Dridex
[2] https://docs.microsoft.com/en-us/office/vba/language/reference/user-interface-help/layout-event
参考及来源：https://www.fortinet.com/blog/threat-research/hundreds-of-urls-inside-microsoft-excel-spreads-new-dridex-trojan-variant
声明：转载此文是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益，请作者持权属证明与本网联系，我们将及时更正、删除，谢谢。邮箱地址：newmedia@xxcb.cn

中年|从数百个URL下载Payload：新型Dridex木马变种分析

推荐阅读

木勺的美食日记|做出柔软好吃的饼，凉了也不硬，做面食就服北方人，不揉面不发面

太空|期待太空中国年，航天员太空过年吃啥馅饺子？

系统怎么重装到固态硬盘里

江西被淹村民为千斤米粉发愁消防员打个电话帮他卖光

大学里霸气又搞笑的群名称 6个人的霸气群名大学

上班族个子娇小（低于156cm）的女生怎样穿着有没有自己觉得搭配不错的给予借鉴谢谢！?

『Pro』荣耀30系列正式开售半个娱乐圈同款手机售2999元起！

二分之一吧|我的爱情成长（1）

下巴淋巴有疙瘩，有啥影响吗会发展成淋巴癌吗

喝红茶对肝有影响吗,月经能喝红茶吗

叶桃之的情感站|真相扎心了，是哪个瞬间让你决定分手的

韵味|漂亮女生仿妆青蛇，开始一看就有水平，结果这也太有韵味了吧

小克鲁伊夫|救星来了？曝小克鲁伊夫或成深足新帅！年薪150万欧，里皮助教又失业

「法治雁塔」连线市民回应关切，权威发布|西安人大发布《西安市养老服务促进条例》

皇家橡树1972|T90薄皮装甲让人惊讶，战场毁伤率太高，俄军导弹误击自家坦克

真的李小新|11 Pro 屏幕：120Hz+3K 屏，小米

|车流动起来、经济活起来，平台大数据里的黄金周

雷科技微信进阶玩法，这样设置朋友圈和头像，个性又好看

渡红尘的劫：无视美军强烈警告，将万吨神盾舰团团围住，11艘伊朗快艇冲向美舰

中新经纬|百联股份大跌5.13%，近5日流出5.30亿元