研究人员剖析发现有广告歹意软件装置名为Pirate Chick的VPN软件，该VPN软件会衔接到长途服务器来下载和装置歹意payload——AZORult信息盗取木马。 由于广告歹意软件需求看起来尽可能合法和合理，该歹意软件要求用户赞同隐私方针和知情赞同，看起来跟真的网站如出一辙。 下面是Pirate Chick VPN的网站，看起来和其他VPN站点如出一辙，还有3个月的免费试用期。 Pirate Chick网站 歹意软件运用的是一家英国的ATX世界公司的证书进行签名，这样使可履行文件愈加可信。研究人员也发现大多数签名的歹意软件都与英国公司相关联。 签名的可履行文件 研究人员剖析该样本发现这是一款伪装成合法VPN软件的木马，会在后台下载和装置歹意软件payload。 躲藏的歹意payload 当履行Pirate Chick VPN的装置文件时，它会下载和装置一个payload到%Temp%文件夹并履行该payload。之前的payload是AZORult信息盗取器木马，现在的payload变成了进程监控器，作为发动别的的进犯活动的暂时填充。 之一次履行时，装置文件会将一些字符串融入到进程名中，比方ImmunityDebugger, Fiddler, Wireshark, Regshot, ProcessHacker。然后查看运跋涉列表，假如检测到列表中的进程，就越过歹意软件payload的装置。 进程查看的字符串 然后歹意软件会衔接到https://www.piratechickvpn.com/collectStatistics.php，该网站会依据受害者的IP地址回来地点区域。假如用户来自俄罗斯、白俄罗斯、乌克兰或哈萨克斯坦，就越过歹意payload。 查看是否来自俄语国家 然后查看用户是否在Vmware, VirtualBox, HyperV下运转，假如是就越过歹意payload。 假如用户经过了以上查看，就从https://www.piratechickvpn.com/woh *** . *** 文件，对内容履行特征替换，然后base64解码字符串。 这会将下载的文件转成一个作业的可履行文件，作业的可履行文件保存为%Temp%woh *** .exe，然后履行。可履行文件现在是Sysinternals Process Monitor进程监控东西，之前是AZORult木马。 在下载的文件中替换字符并履行 最终，Pirate Chick VPN的主装置文件如下图所示： Pirate Chick装置界面 VPN成功装置后，用户会看到如下界面要求用户登陆。 Pirate Chick VPN Signup Signup屏幕无法正常显现，但这表明了木马怎么伪装成VPN程序，并装置歹意payload。 经过广告歹意软件传达 依据Any.Run session的剖析，研究人员发现Pirate Chick VPN经过假造的Adobe Flash Players 和广告歹意软件进行传达。 在曩昔，首要装置广告歹意软件和其他用户不想要的扩展，可是现在开端装置挖矿机、勒索软件、暗码盗取木马和广告点击器等。 在本事例中，装置器伪装成Flash Player下载器，伪装成Flash Player晋级。 伪装成Flash Player晋级 从Any.Run process graph中能够看出，piratechickvpnsetup.exe装置了vpnclientupdate.exe（实际上是AZORult）。 AZORult感染图 现在Pirate Chick VPN现已不再装置暗码盗取器木马，可是会衔接到站点，下载和运转混杂版的Procmon.exe。并且进犯者很简单就能够将其替换为其他想要装置的歹意软件。