新 JavaSquid 恶意软件家族

这种初始入侵技术表明，该活动背后的威胁行为者正在寻求机会性感染，因此很可能是出于经济动机，有可能是作为 IAB（初始访问经纪人）行事。根据提交样本的地点，该活动的目标很可能主要是欧洲。 

用于欺骗受害者和提供恶意软件的灌水漏洞域名受 Cloudflare 保护。但是，他们的恶意软件样本会联系一个不同的域名，该域名解析成的 IP 地址也被许多其他域名指向。许多指向同一 IP 地址的不同域名似乎也与人工智能技术引诱和冒充其他公司有关。  

有趣的是，我们的 OSINT 研究表明，C2 IP 地址以前与 Lumma 和 Poseidon 窃取程序有关。据报道，Lumma 窃取程序是基于古老的 Mars 窃取程序，而 Poseidon 则是最近发现的用 AppleScript 编写的恶意软件系列，因此以 iOS 环境为目标。这种新型系列是用 JavaScript 编写的，这可能表明幕后的威胁行为者可能正在转向一种可用于不同环境的脚本语言。另一个需要强调的事实是，IP 地址属于中国的一家 ISP（常威科技有限公司），而主机的地理位置在俄罗斯联邦境内。 

在我们第一次分析最初的恶意软件样本时（2024 年 11 月 9 日），其数字签名是由一家中国公司 "太谷福隆电子科技有限公司 "签发的。 但是，我们在调查过程中发现，该签名已经被撤销。 

在使用我们的Sandbox 猎取引擎研究类似样本时，我们发现了一组使用相同的可能被盗数字证书的同族样本，但也发现了两组新样本。其中一组没有任何数字签名，而另一组则使用了不同的数字证书。所有样本都采用了相同的模式和技术，即根据不同的给定名称（ai_Generation.exe、sweethome3d.exe、Installer_capcut_pro_x64.exe......）伪装成某种合法的实用工具。 

该PE文件是经过编译的JavaScript恶意软件，利用pkg工具将JavaScript代码转换为Windows PE格式。 编译型JavaScript在威胁态势中呈现上升趋势，正如其他研究人员近期报告所示。该工具通过嵌入Node JS/V8解释器将JavaScript有效载荷封装为Windows PE，并支持将代码编译为V8字节码，从而实现明文代码或JavaScript编译字节码的PE嵌入。 虽然在多数情况下提取明文版本较为简单，MetaDefender 编译后的代码提取为JSC（JavaScript编译文件）并进行反汇编，以便后续深入分析。 

JavaScript有效载荷将相关有效载荷进行Base64编码，解码后通过eval函数执行。解码后的有效载荷首先执行快速内存大小检测，此举很可能旨在规避分析环境中的执行。尽管多数传统沙箱无法通过此检测MetaDefender 会对所有JavaScript代码进行深度分析，从而触发相关指标。 

检查通过后，示例将向 google 日历事件 URL 执行 HTTP 请求，该 URL 的描述中存储了 base64 格式的第二个 URL。 

解码后的 URL 指向攻击者控制的域，攻击者会在相应请求后提供新的 base64 有效负载。解码后的新 JavaScript 有效载荷也会立即使用 eval 函数执行。这些附加 JavaScript 代码使用 AES 加密解密并执行附加层硬编码有效载荷。  

有趣的是，IV 和 AES 密钥是从最后一次 HTTP 请求的响应标头中获取的，而我们观察到每次请求的响应标头都不同，这意味着每次向 C2 请求时都会动态创建所提供的有效载荷和标头，并使用不同的密钥进行解密。此外，解密后的有效载荷似乎总是相同的，但混淆程度不同，这表明不仅加密，而且混淆也是在每次请求中动态进行的。 这种技术不仅会妨碍事件发生时的取证分析或威胁研究，而且还会逃避基于签名的检测，因为每次请求的混淆都是不同的。 

这个新解密的模块被高度混淆，并通过添加额外库的代码为样本带来了更多的功能，主要是使用 adm 模块处理文件操作和压缩功能。此外，它还使用随机命名法将不同的文件放入不同的子目录 %appdata%\Local。 

其中一个被删除的文件是名为 run.ps1 的 PowerShell 脚本，其中包含安装 NodeJS MSI 安装程序的代码，以便以后使用安装的 NodeJS 而不是初始编译的 JavaScript 有效载荷启动最终的 JavaScript 有效载荷。 

此时，执行程序将以弹出窗口的形式向用户触发错误信息，可能会让受害者误以为预期的 "人工智能软件"（ProAI.exe）可能无法在其系统上运行，从而将注意力从正在进行的 JavaSquid 感染上转移开。这个后期阶段的 JavaScript 有效载荷还将使用相同的机制下载最后一个 JavaScript 文件，即联系谷歌日历，然后使用 HTTP 响应标头联系其受控域，以解密最终提供的有效载荷。这一次，最终有效载荷将以 index.js 的形式保存在 %appdata%/Romaing 目录内的一个随机名称的目录中。 

之前的 run.ps1 文件随后会被替换为另一个同名的 PowerShell 脚本并立即执行。从截图中我们可以看到，这个脚本只是用来获得机器上的持久性，而主要的恶意软件代码是在 index.js 中编写的。 

恶意软件丢弃的其他文件： 

• VeqVMR.zip（随机生成的名称）：从同一 C2 下载。它只包含一个记事本安装程序 (npp.8.6.6.Installer.exe)，显然对整体行为没有影响。 
• bypass.ps1：用于执行前面提到的 run.ps1，同时绕过运行 powershell 脚本的限制。 
• NiOihmgUci.msi（随机生成的名称）：nodejs 安装程序，从其官方网站获取。 
• Update.lnk：投放到启动文件夹，它将指向 PowerShell 脚本 run.ps1。