原标题：【安全通告】窃密木马FormBook竟利用新冠肺炎疫情话题传播

当前，新冠肺炎在全球100多个国家地区蔓延，病例数超过10万。不少网络不法分子也在持续蹭此话题热度，利用新冠肺炎疫情传播计算机病毒。2020年初，我国和日本出现了多个利用新冠肺炎话题传播远控木马和EMOTET银行木马的案例。

近期，亚信安全又发现了伪装成“新冠肺炎进展信息”的垃圾邮件传播FormBook窃密木马的攻击活动，用户一旦点击邮件附件，该木马会被安装在设备上，收集和窃取敏感数据。经过关联分析，安全研究专家发现此次样本与之前披露的FormBook样本在行为和传播方式上基本一致，两者存在一定的关联性。

尽管Google Drive的固定分享链接在我国无法打开和使用，但是通过固定网盘链接传播知名木马病毒的这种方式，更值得我们注意和防范，因为在早期，它们在一定程度上都躲避了安全产品的检测。

病毒详细分析

该邮件发件人伪装成WHO（世界卫生组织），附件是一个ZIP文件，邮件标题和内容都是新冠肺炎进展的相关信息。

打开可查看具体的邮件内容，并且攻击者试图让用户打开附件ZIP中的“MY-HEALTH.PDF”文件，实际上该文件是可执行文件，用户一旦点击，恶意代码将会被执行。

该文件是使用VB5.0编写的可执行文件，通过访问Google Drive共享的固定链接下载加密的Formbook窃密木马。此前安全专家曾披露过Gorgon APT组织通过Google Drive网络云盘发现formbook窃密木马的攻击活动，本次也同样使用此套路传播该窃密木马，值得安全研究人员进行对比分析。

首先，病毒使用VirtualAlloc函数分配内存，基址为0x002A0000。然后将核心代码复制到分配的内存后执行，与上一次样本行为一致。

然后，利用ZwSetInformationThread函数进行反调试，将参数类型设置成ThreadHideFromDebugger(位移0x11)。与上一次样本使用同样的反调试技术。

动态获取网络请求的API地址。其中包括InternetOpenUrlA，InternetReadFile，InternetCloseHandle等。

通过使用API访问Google Drive分享链接，下载核心的加密FormBook Payload。首先调用InternetOpenA初始化WinINet函数。

然后，通过InternetOpenUrlA函数打开Google Drive分享链接。

该网盘数据目前仍然有效，获得地址后，也可以通过浏览器方式下载。内容是加密的核心formbook payload。这与上一次样本行为基本一致，也是通过同样的方法下发Formbook窃密木马。

通过分析，我们发现此次样本的行为与上一次捕获的样本行为基本一致，只是用于存放数据的Google Drive网盘分享链接发现了变化，下载的内容和加密方法也发生了变化，但是文件命名方式和格式都没有改变。本次的样本和上一次样本使用相同的图标。如下图Kachi.exe和MyHealth.exe。

经过分析，我们发现这两个样本内容匹配度很高。加上我们之前的分析，我们认为这两个文件存在一定的关联性。

从Google Drive网盘上下载的内容在名称和格式上也有一致性。文件名称都是“filename+ encrypted + address.bin”。

文件内容格式是“文件SHA-256值+加密的数据”。

近期使用Google Drive传播病毒的方式越来越多，据开源情报披露，近期知名的Agent Tesla木马也在使用这种方式进行传播。

亚信安全教你如何防范

• 不要点击来源不明的邮件以及附件；

• 慎重启用文档中的宏；

• 采用高强度的密码，避免使用弱口令密码，并定期更换密码；

• 打开系统自动更新，并检测更新进行安装。

亚信安全产品解决方案

亚信安全病毒码版本15.729.60，云病毒码版本15.729.71，全球码版本15.731.00已经可以检测，请用户及时升级病毒码版本。

IOC

责任编辑：