新 JavaSquid 恶意软件家族

这种初始入侵技术表明，该活动背后的威胁行为者正在寻求机会性感染，因此很可能是出于经济动机，有可能是作为 IAB（初始访问经纪人）行事。根据提交样本的地点，该活动的目标很可能主要是欧洲。 

用于欺骗受害者和提供恶意软件的灌水漏洞域名受 Cloudflare 保护。但是，他们的恶意软件样本会联系一个不同的域名，该域名解析成的 IP 地址也被许多其他域名指向。许多指向同一 IP 地址的不同域名似乎也与人工智能技术引诱和冒充其他公司有关。  

有趣的是，我们的 OSINT 研究表明，C2 IP 地址以前与 Lumma 和 Poseidon 窃取程序有关。据报道，Lumma 窃取程序是基于古老的 Mars 窃取程序，而 Poseidon 则是最近发现的用 AppleScript 编写的恶意软件系列，因此以 iOS 环境为目标。这种新型系列是用 JavaScript 编写的，这可能表明幕后的威胁行为者可能正在转向一种可用于不同环境的脚本语言。另一个需要强调的事实是，IP 地址属于中国的一家 ISP（常威科技有限公司），而主机的地理位置在俄罗斯联邦境内。 

在我们第一次分析最初的恶意软件样本时（2024 年 11 月 9 日），其数字签名是由一家中国公司 "太谷福隆电子科技有限公司 "签发的。 但是，我们在调查过程中发现，该签名已经被撤销。 

在使用我们的Sandbox 猎取引擎研究类似样本时，我们发现了一组使用相同的可能被盗数字证书的同族样本，但也发现了两组新样本。其中一组没有任何数字签名，而另一组则使用了不同的数字证书。所有样本都采用了相同的模式和技术，即根据不同的给定名称（ai_Generation.exe、sweethome3d.exe、Installer_capcut_pro_x64.exe......）伪装成某种合法的实用工具。 

该 PE 是编译过的 JavaScript 恶意软件，使用pkg 工具将 JavaScript 代码转化为 Windows PE。正如其他研究人员最近报告的那样，编译后的 JavaScript 在威胁领域似乎呈上升趋势。上述工具通过嵌入一个 Node JS/V8 解释器将 JavaScript 有效载荷打包到 Windows PE 中，该解释器可将代码编译成 V8 字节码，从而将明文代码或 JavaScript 编译字节码嵌入到 PE 中。不过，在大多数情况下，明文版本的提取是微不足道的，Metadefender Sandbox 可以将编译后的代码提取为 JSC（JavaScript 编译文件）并反汇编，以便日后进一步分析。 

JavaScript 有效载荷会将相关有效载荷进行 base64 编码、解码并使用 eval 函数执行。解码后的有效载荷首先会进行快速的 RAM 大小检查，以避免在分析环境中执行。虽然许多传统沙箱无法通过这种检查，但Metadefender Sandbox 会对所有 JavaScript 代码进行更深入的分析，从而触发相关指标。 

检查通过后，示例将向 google 日历事件 URL 执行 HTTP 请求，该 URL 的描述中存储了 base64 格式的第二个 URL。 

解码后的 URL 指向攻击者控制的域，攻击者会在相应请求后提供新的 base64 有效负载。解码后的新 JavaScript 有效载荷也会立即使用 eval 函数执行。这些附加 JavaScript 代码使用 AES 加密解密并执行附加层硬编码有效载荷。  

有趣的是，IV 和 AES 密钥是从最后一次 HTTP 请求的响应标头中获取的，而我们观察到每次请求的响应标头都不同，这意味着每次向 C2 请求时都会动态创建所提供的有效载荷和标头，并使用不同的密钥进行解密。此外，解密后的有效载荷似乎总是相同的，但混淆程度不同，这表明不仅加密，而且混淆也是在每次请求中动态进行的。 这种技术不仅会妨碍事件发生时的取证分析或威胁研究，而且还会逃避基于签名的检测，因为每次请求的混淆都是不同的。 

这个新解密的模块被高度混淆，并通过添加额外库的代码为样本带来了更多的功能，主要是使用 adm 模块处理文件操作和压缩功能。此外，它还使用随机命名法将不同的文件放入不同的子目录 %appdata%\Local。 

其中一个被删除的文件是名为 run.ps1 的 PowerShell 脚本，其中包含安装 NodeJS MSI 安装程序的代码，以便以后使用安装的 NodeJS 而不是初始编译的 JavaScript 有效载荷启动最终的 JavaScript 有效载荷。 

此时，执行程序将以弹出窗口的形式向用户触发错误信息，可能会让受害者误以为预期的 "人工智能软件"（ProAI.exe）可能无法在其系统上运行，从而将注意力从正在进行的 JavaSquid 感染上转移开。这个后期阶段的 JavaScript 有效载荷还将使用相同的机制下载最后一个 JavaScript 文件，即联系谷歌日历，然后使用 HTTP 响应标头联系其受控域，以解密最终提供的有效载荷。这一次，最终有效载荷将以 index.js 的形式保存在 %appdata%/Romaing 目录内的一个随机名称的目录中。 

之前的 run.ps1 文件随后会被替换为另一个同名的 PowerShell 脚本并立即执行。从截图中我们可以看到，这个脚本只是用来获得机器上的持久性，而主要的恶意软件代码是在 index.js 中编写的。 

恶意软件丢弃的其他文件： 

• VeqVMR.zip（随机生成的名称）：从同一 C2 下载。它只包含一个记事本安装程序 (npp.8.6.6.Installer.exe)，显然对整体行为没有影响。 
• bypass.ps1：用于执行前面提到的 run.ps1，同时绕过运行 powershell 脚本的限制。 
• NiOihmgUci.msi（随机生成的名称）：nodejs 安装程序，从其官方网站获取。 
• Update.lnk：投放到启动文件夹，它将指向 PowerShell 脚本 run.ps1。