400-9909-139
采购文件暗藏杀机——PureRAT木马针对电商定向窃密
发布时间：2026-10-12 14:47:56
—发布时间—
2026-10-12 14:47:56
近日，火绒安全实验室收到用户反馈，称其在日常网络交易中经常有人发送“采购文件、下载打开”的信息，经溯源与技术分析，火绒安全工程师发现这是一起针对性瞄准电商行业商家的恶意网络攻击活动，该攻击主要通过站外社交、私聊、邮件、陌生对接渠道传播，攻击者伪装成合作客户、采购方，将恶意hta脚本文件伪装成正规的采购资料文档，以发送采购清单、报价单据、样品核对资料等商务名义投递恶意压缩包文件，精准诱导电商运营商家、店铺工作人员解压打开文件，触发恶意程序运行。用户误打开该伪装文件后，程序会在后台静默运行，隐蔽释放并启动多层恶意加载器，全程无明显弹窗提示、无运行痕迹，最终在系统内存中落地运行PureRAT远程控制木马，实现对受害终端的长期控制、数据窃取等恶意操作。 在样本传播的第一阶段，hta负责隐藏窗口、释放文件并启动加载器；第二阶段加载器将自身复制到加密硬编码的指定目录，通过随机数据膨胀文件，并借助rasphone.exe及Connection Manager配置文件间接启动转移后的副本；进入目标路径后，程序初始化clr、修改当前进程内的AmsiScanBuffer，再以内存方式加载托管Loader。Loader随后解密名为PayloadSource.zip的资源，恢复并运行最终PureRAT。 PureRAT与控制端建立TLS通道，并使用protobuf交换结构化消息。其功能包括主机信息收集、安全软件探测、浏览器及加密货币钱包数据窃取、屏幕截图、摄像头探测、计划任务持久化，以及在内存中加载控制端下发的.NET工具模块。 目前，火绒安全产品已实现对该行为的拦截与查杀。 攻击者向电商商家投递包含“9月份采购样品清单.hta”的压缩包，诱导收件人打开附件。用户双击该文件后，Windows系统调用mshta.exe执行其中的HTML与脚本代码。 hta文件启动后先隐藏自身窗口，避免持续显示脚本界面。 hta文件会释放.zip扩展名伪装的加密数据文件，随后解密恢复PE内容，并在自定义文件名表中随机选取一项作为解密后PE文件的文件名，本次分析时生成文件为supplier.exe。 hta会释放bat文件，通过bat文件，运行supplier.exe。 supplier.exe运行后会创建类似Windows Search组件的目录，并将自身复制到以下位置： C:\ProgramData\Search\34f3ee81e944bc6b\avq.exe 复制过程中，supplier.exe生成随机数据并追加到avq.exe尾部，使不同副本的体积和散列发生变化。膨胀操作主要用于增加样本的hash随机性，对抗杀毒软件上传云端检测。 supplier.exe还会释放.pbk、.cmp和.cms配置文件到公共用户目录。 其中，pbk配置将cmdial32.dll指定为自定义拨号组件；配套cms文件的Pre-Init Actions，文件功能是通过cmd.exe启动转移后的avq.exe。 supplier.exe使用WPTaskScheduler RPC创建临时计划任务通过以下命令启动系统自带的rasphone.exe： 上述行为完成后，用户进程列表中会出现avq.exe进程。 avq.exe没有在导入表中直接暴露全部关键API，而是通过PEB遍历、名称解密和动态解析方式获取CreateMutexA等函数地址。avq.exe创建以下全局互斥体，避免相同路径对应的实例重复运行： Global\M_dd14849afcab7b94 avq.exe修改当前进程中amsi.dll!AmsiScanBuffer的函数开头，阻止amsi扫描，随后avq.exe会初始化clr，取得默认AppDomain，并把内嵌的Loader放入SAFEARRAY中，通过_AppDomain.Load从内存加载。 avq内嵌的Loader被加载运行后，Loader会在内存中读取内嵌资源PayloadSource.zip。其内容不是可直接打开的ZIP压缩包，PayloadSource.zip是经过TripleDES-CBC加密并由GZip压缩的载荷数据。 Loader会读取PayloadSource.zip、Base64解码TripleDES密钥和IV、TripleDES-CBC 解密并去除PKCS#7填充、跳过四字节长度字段GZip解压、Assembly.Load(byte[])、反射调用解密后程序的GClass0.smethod_0函数。 解密后的程序是76,800字节的.NET程序集，SHA-256为： d882627c3a9ceb934a45f969c9416996337e36cbf7a07831f5e82d5c3ae4f855 程序集代码包含版本字符串4.4.1，其内嵌PKCS#12证书的主题和颁发者均为CN=PureRAT Agent。结合网络客户端结构、证书身份和功能实现，可以推断最终载荷为PureRAT 4.4.1。 PureRAT启动后创建Socket、NetworkStream和SslStream，使用内嵌证书建立TLS通信。本次运行中，传入Winsock的sockaddr_in的远程地址为： 172.98.22.177:56002 PureRAT并借助protobuf-net库进行序列化和反序列化业务数据。连接建立后，PureRAT先收集主机及受害者信息并向控制端登记，随后接收protobuf消息，由命令分发函数调用对应功能模块。 PureRAT中包含窃取Chromium系浏览器数据，并定位窃取加密货币钱包扩展及本地客户端数据的功能。其目标包括Chrome、Edge、Brave、QQBrowser、Vivaldi，以及MetaMask、TronLink、Coinbase Wallet、Trust Wallet、Phantom、Ronin 等扩展；同时还会寻找Atomic Wallet、Electrum、Exodus、Ledger Live、Telegram Desktop和Foxmail等应用数据。 此外，PureRAT能够通过WMI和系统API收集处理器、磁盘、内存、操作系统、用户域、权限状态、安全软件及摄像头信息，并可截取主屏幕图像。收集到的信息可用于生成主机指纹、评估受害环境。 这类针对电商商家的PureRAT远控木马定向攻击活动，伪装性强、隐蔽性高、窃取能力强，极易对电商经营终端数据安全、数字资产安全造成威胁。目前，临近各类电商大促节点，对于商家而言，商务沟通、订单对接、样品询价等往来业务激增，不仅是电商从业者，包括消费者也需要高度防范此类钓鱼攻击，警惕各类伪装成订单、售后、报价的恶意文件与钓鱼链接，火绒安全在此提醒广大用户：
[Pre-Init Actions]
0=C:\Windows\System32\cmd.exe, /c start '' 'C:\ProgramData\Search\34f3ee81e944bc6b\avq.exe'
rasphone.exe -f C:\Users\Public\DDC87699A36825C5.pbk -d 'PoCEntry'
作者： 浏览量：
关于比特信息
公司成立于2018年，坐落于粤港澳大湾区-中山，专注为中大型企业提供全套企业信息安全解决方案，包括但不限于服务器虚拟化、桌面虚拟化、信息安全、数据存储、行为管理、工控安全、私有云、公有云等服务。
Copyright © 广东比特信息科技有限公司 All Rights Reserved. 备案号：粤ICP备19007201号-1
技术支持电话：18825383068
联系方式
咨询电话
400-9909-139
中山市石岐街道江怡街2号富力中心2栋20楼2004
公众号二维码
关于比特信息
比特信息科技是一家专注于阿里云、网络安全及数据安全的企业，“诚信、专业、创新”是比特信息对待客户及合作伙伴的最基本原则。比特信息科技通过与各大软、硬件厂商的紧密合作，为用户提供优质、高效、实用的整体信息化解决方案，为客户提供阿里云、网络安全、主机安全、应用安全、数据安全等服务。
联系方式
咨询电话
139-2450-5487
中山市石岐街道江怡街2号富力中心2栋20楼2004
关注公众号
Copyright © 广东比特信息科技有限公司
技术支持电话：18825383068
