Fake CAPTCHA传播XWorm RAT远控样本分析
字数 1149 2025-08-29 22:41:01

Fake CAPTCHA传播XWorm RAT远控样本分析教学文档

1. 攻击技术概述

Fake CAPTCHA（虚假验证码）是一种社会工程学攻击技术，攻击者通过伪造验证码页面诱导用户执行恶意操作。近期该技术被广泛用于传播XWorm RAT远控木马。

相关开源项目：

  • GitHub项目地址：https://github.com/JohnHammond/recaptcha-phish
  • 该项目详细介绍了Fake CAPTCHA攻击原理

2. 攻击链分析

2.1 初始样本

  • 初始样本为混淆的BAT脚本文件
  • 使用多种混淆技术隐藏恶意代码

2.2 样本解密过程

  1. 样本包含多层混淆
  2. 通过动态调试可解密出两个Payload数据
  3. 解密后的Payload转化为二进制程序执行

2.3 Payload功能分析

第一个Payload功能：

  • 执行AMSI Bypass操作（绕过反恶意软件扫描接口）
  • 检测运行环境（检查是否在AnyRun沙箱中运行）
  • 检查是否以管理员身份运行
  • 禁用Windows恢复环境（增加持久性）
  • 修改主机hosts文件（阻止访问杀毒软件域名）

hosts文件修改内容：

  • 将多个杀毒软件域名指向本地（127.0.0.1），阻止更新和通信

2.4 恶意程序解密

  1. 样本包含加密的资源数据
  2. 使用AES算法解密资源
  3. 解密工具可使用在线AES解密工具
  4. 解密后得到XWorm RAT远控木马

2.5 XWorm RAT特征

  • 版本：V5.2
  • 包含远程服务器域名（通过动态调试获取）
  • 具备完整的远控功能

3. 防御建议

3.1 技术防御措施

  1. AMSI保护：确保反恶意软件扫描接口正常工作
  2. hosts文件监控：监控系统hosts文件的异常修改
  3. 沙箱检测：部署沙箱环境检测可疑行为
  4. 权限控制：避免使用管理员权限执行不明程序

3.2 用户教育

  1. 警惕虚假验证码页面
  2. 不轻易下载执行不明文件
  3. 验证网站真实性

3.3 企业防护

  1. 部署多层次的终端防护方案
  2. 建立完善的日志监控系统
  3. 定期进行安全审计

4. 分析工具与方法

  1. 动态调试工具：

    • x64dbg
    • OllyDbg
    • WinDbg

  2. 解密工具：

    • 在线AES解密工具
    • CyberChef

  3. 行为分析工具：

    • Process Monitor
    • Wireshark
    • API Monitor

  4. 样本分析流程：

    • 静态分析（查看文件结构、字符串）
    • 动态调试（跟踪执行流程）
    • 行为监控（记录系统变化）
    • 网络分析（捕获通信数据）

5. 总结

Fake CAPTCHA攻击技术结合社会工程学和恶意软件传播，具有较高欺骗性。XWorm RAT作为功能完善的远控木马，持续更新版本（当前分析为V5.2），对企业和个人安全构成严重威胁。安全团队需要持续关注此类攻击手法演变，及时更新防御策略。

Fake CAPTCHA传播XWorm RAT远控样本分析教学文档 1. 攻击技术概述 Fake CAPTCHA（虚假验证码）是一种社会工程学攻击技术，攻击者通过伪造验证码页面诱导用户执行恶意操作。近期该技术被广泛用于传播XWorm RAT远控木马。 相关开源项目 ： GitHub项目地址：https://github.com/JohnHammond/recaptcha-phish 该项目详细介绍了Fake CAPTCHA攻击原理 2. 攻击链分析 2.1 初始样本 初始样本为混淆的BAT脚本文件 使用多种混淆技术隐藏恶意代码 2.2 样本解密过程 样本包含多层混淆 通过动态调试可解密出两个Payload数据 解密后的Payload转化为二进制程序执行 2.3 Payload功能分析 第一个Payload功能 ： 执行AMSI Bypass操作（绕过反恶意软件扫描接口） 检测运行环境（检查是否在AnyRun沙箱中运行） 检查是否以管理员身份运行 禁用Windows恢复环境（增加持久性） 修改主机hosts文件（阻止访问杀毒软件域名） hosts文件修改内容 ： 将多个杀毒软件域名指向本地（127.0.0.1），阻止更新和通信 2.4 恶意程序解密 样本包含加密的资源数据 使用AES算法解密资源 解密工具可使用在线AES解密工具 解密后得到XWorm RAT远控木马 2.5 XWorm RAT特征 版本：V5.2 包含远程服务器域名（通过动态调试获取） 具备完整的远控功能 3. 防御建议 3.1 技术防御措施 AMSI保护 ：确保反恶意软件扫描接口正常工作 hosts文件监控 ：监控系统hosts文件的异常修改 沙箱检测 ：部署沙箱环境检测可疑行为 权限控制 ：避免使用管理员权限执行不明程序 3.2 用户教育 警惕虚假验证码页面 不轻易下载执行不明文件 验证网站真实性 3.3 企业防护 部署多层次的终端防护方案 建立完善的日志监控系统 定期进行安全审计 4. 分析工具与方法 动态调试工具 ： x64dbg OllyDbg WinDbg 解密工具 ： 在线AES解密工具 CyberChef 行为分析工具 ： Process Monitor Wireshark API Monitor 样本分析流程 ： 静态分析（查看文件结构、字符串） 动态调试（跟踪执行流程） 行为监控（记录系统变化） 网络分析（捕获通信数据） 5. 总结 Fake CAPTCHA攻击技术结合社会工程学和恶意软件传播，具有较高欺骗性。XWorm RAT作为功能完善的远控木马，持续更新版本（当前分析为V5.2），对企业和个人安全构成严重威胁。安全团队需要持续关注此类攻击手法演变，及时更新防御策略。