Windows Installer运用Microsoft Software Installation (MSI)包文件来装置程序，每个包文件都有一个联系型数据库，其间包括装置或删除程序所需的指令和数据。 趋势科技最近发现了一些歹意MSI文件，它们能绕过传统的安全解决方案，下载并履行其它文件。歹意行为者能够乱用这些文件中的自界说操作来履行歹意脚本，植入歹意软件，并能定位用户电脑中金融使用程序所在方位。 剖析歹意MSI文件 咱们在几个歹意.msi文件样本中发现了 *** cript / VBScript脚本，但脚本文件并不完好，部分代码好像被切断并放在了文件的其他部分，而且脚本没有直接调用wscript.exe来运转，由于装置程序msiec .exe本身就带有解说器。 图1..MSI文件中包括的或许被切断的JavaScript脚本 咱们运用了Orca MSI Editor东西，它答使用户查看和修正数据库文件表，从而了解文件传送的 *** 和方位，咱们可在CustomAction表中查找相关问题脚本。CustomAction表答使用户将自界说代码和数据集成到装置中，代码源能够是来自特定数据库、已装置文件或现有可履行文件流。该表列出了各种信息，如操作、类型、源、方针和扩展类型。 图2.Orca MSI Editor：包括JavaScript的CustomAction 歹意 *** 代码（由趋势科技检测为Trojan. *** .MSAIHA.A）经过拜访下列地址hxxps[:]//s3-eu-west-1[.]amazonaws[.]com/{random characters}/image2[.]png来下载文件。下载的文件或创立的.txt文件将存储在以下任一文件夹中： · %User Startup% · %User Profile%Saved Games · %User Profile%Contacts · %User Profile%Links · %User Profile%Music 下载文件（.exe，.msi或来自zip的转储文件）的文件名为jesus或dump，而关于创立的.txt文件，文件名则在desktop.txt，desktop和desktop.ini之间改换。 文件％Application Data％/ {yyyyMM} .ini是感染符号，假如有它，则歹意软件将不会持续其例程。歹意软件还会下载一个加密的.zip文件，然后运用带有硬编码0x29的XOR对其进行解密。 图3.保存在Microsoft文件夹中的.zip文件的内容 图4.履行context_snapshot.exe的木马 这个.zip文件里有惯例文件，如iLua.inf，msvcr120.dll和msvcp120.dll;也有由Avira（小红伞，由德国的Avira公司所开发的杀毒软件）数字签名的文件;还有 AutoIt相关文件和加密的动态链接库（DLL）。该木马经过AutoIt（一个运用相似BASIC脚本语言的免费软件,规划用于Windows GUI中进行自动化操作）来解密加密的DLL并履行context_snapshot.exe来注入其本身的DLL，并能成假装合法的进程。 此处的AutoIt脚本（图3中的v8_context_snapshot.src，趋势科技检测为Trojan.AutoIt.AUTINJECT.AA）受暗码维护，因而咱们经过一个修正正的myAut2Exe（一个用于暗码猜想、生成路径名以及其他信息的东西）对其解码。 图5.v8_context_snapshot.src的日志输出 图6.将 Avira可履行文件注入到加密的DLL之中 该木马运用解密后的AutoIt脚本进行注入操作，此AutoIt脚本咱们在网上也发现过相似的，攻击者将其修正成了合适自己运用的版别。此外，AutoIt脚本还附加了一个DLL，随后会加载到内存中，这么做的意图是为了履行数字签名的Avira文件(context_snapshot.exe)，然后在Avira可履行文件的进程中注入加密的DLL (Jlib.dll)，并将其作为合法进程传递。 在咱们与Avira公司论述了研究结果后，Avira回应道: 咱们的首要任务是维护咱们的用户，因而咱们当即检测了产品中所有文件以及外部链接。歹意软件为了能够在合法进程的上下文中履行歹意代码并绕过安全解决方案，利用了咱们的一个Avira可履行程序，在惯例装置的上下文中注入歹意代码。不过只要在用户机器上未启用Avira维护时，此项过程才干履行成功，否则是不会答应任何第三方进程或组件修正/注入进程的。在曩昔，咱们并没有收到过相似的陈述。这一问题现在正在查询中，因而咱们将在未来几天供给更多信息。 其他与Trojan.PS1.MSAIHA.A相关的样本也能够重启方针计算机并运用Dropbox链接下载上述.zip文件。有些歹意样本甚至会查看以下文件夹称号是否存在，假如存在，则持续程序： · ％AppDataLocal％ Aplicativo Itau（与巴西银行有关） · ％Program Files％ AppBrad（与巴西的银行和金融服务公司有关） · ％ProgramFiles％ Diebold Warsaw（与金融和零售技能公司有关） 图7.假装成Adobe Acrobat Reader DC弹出窗口 歹意MSI文件另一个值得注意的当地是它们会假装成合法使用，如图7所示的Adobe Acrobat Reader DC，会将用户重定向到网站www[.]adobe[.]com/br/（域名坐落葡萄牙）。[1][2]黑客接单网