前言概述

Fake CAPTCHA攻击最近一段时间非常活跃，如果对该攻击技术感兴趣，可以参考开源项目，项目地址：

https://github.com/JohnHammond/recaptcha-phish

该开源项目详细介绍了该攻击技术攻击原理，这里不对该攻击技术做过多的介绍，还是从实战应用角度出发，研究黑客组织如何利用该技术进行钓鱼链攻击，安装恶意软件，对攻击链样本进行详细分析。

样本分析

1.初始PS脚本，如下所示：

2.去混淆之后，从远程服务器下载cmd.bat恶意脚本，如下所示：

3.cmd.bat恶意脚本，如下所示：

4.从远程服务器下载a.mp4恶意脚本并执行，a.mp4恶意脚本，如下所示：

5.去混淆之后，从远程服务器下载yr.exe恶意程序并执行，如下所示：

6.yr.exe恶意程序使用C#语言编写，如下所示：

7.解密程序中包含的PayLoad加密数据，并调用执行，如下所示：

8.加密的PayLoad数据，如下所示：

9.解密出来的恶意代码，如下所示：

10.调用恶意代码ReloadPick函数，如下所示：

11.ReloadPick函数代码，如下所示：

12.StartStd函数代码启动MSBuild.exe程序，如下所示：

13.解密加密的PayLoad数据，加密的PayLoad数据内容，如下所示：

14.解密代码，如下所示：

15.解密之后的PayLoad，如下所示：

16.将解密后的PayLoad，注入到MSBuild.exe进程当中，如下所示：

17.解密后的PayLoad，采用VB.NET语言编写，如下所示：

18.PayLoad代码，如下所示：

19.动态调试解析出配置信息中的IP地址为92.255.57.221，如下所示：

20.解密出来的PayLoad为XWorm RAT远控木马，版本号为V5.6，如下所示：

总结结尾

黑客组织利用各种恶意软件进行的各种攻击活动已经无处不在，防不胜防，很多系统可能已经被感染了各种恶意软件，全球各地每天都在发生各种恶意软件攻击活动，黑客组织一直在持续更新自己的攻击样本以及攻击技术，不断有企业被攻击，这些黑客组织从来没有停止过攻击活动，非常活跃，新的恶意软件层出不穷，旧的恶意软件又不断更新，需要时刻警惕，可能一不小心就被安装了某个恶意软件。

​

​