400-9909-139
装个“系统组件” 电脑竟被远控？顺藤摸瓜直击C2服务器后台
发布时间：2026-10-20 13:44:51
—发布时间—
2026-10-20 13:44:51
用户在日常使用WPS及各类办公软件、插件时，系统常会提示安装Microsoft Edge WebView2 Runtime。该组件为微软官方运行库，用于支撑程序展示网页弹窗、登录界面及在线服务，是常规办公环境依赖组件，因此多数用户会默认信任并安装，如下图，安装时必须确认链接为微软官方地址。 近期，火绒安全实验室在安全事件监测中发现，有恶意安装包仿冒该正规系统组件诱导用户安装。进一步分析发现，其后台捆绑多款恶意程序，可实现键盘记录、账号信息窃取、数字货币收款地址篡改、远程控机等恶意行为。整套恶意程序可静默驻留运行，用户难以感知异常。同时攻击者配备专属C2远程管理后台，能够批量管控受害设备、动态下发恶意指令，持续窃取用户隐私、操控终端。 通过对受害者机器进行分析，可定位至如下文件夹，该安装包在此文件夹内部署多套恶意软件设施。 目前，火绒安全产品已实现对该行为的拦截与查杀。 鉴于该恶意程序存在可能被攻击者利用的情况，建议开启火绒安全软件的风险软件监控——远程控制工具类。 为查明该恶意程序控制用户电脑的具体方式，火绒安全实验室对安装包中的核心组件进行了分析。研究人员发现，安装包内的binhi_loader.exe会在后台连接远程服务器，并定期接收控制指令。这表明，恶意程序安装完成后，攻击者仍可通过网络向受害电脑下发新的任务。 通过对回连地址的分析，可以找到攻击者的互联网基础设施。该面板默认自动填写账号密码，但是该密码无法登录系统。 对该服务前端进行代码分析与接口测试，可发现该服务含未授权远程代码执行功能，该发现可为后续分析提供更多证据与说明。 通过上述发现，对攻击者C2后台进行分析，发现该C2具备终端管理、远程任务调度及进程管理等功能。 相关界面显示，系统可能关联数十台受控终端。 火绒安全实验室对恶意安装包icook.msi进行分析发现，该程序将自身伪装成Microsoft Edge WebView2 Runtime，并把多个组件安装到仿照正常软件的目录中，以降低用户的警惕性。icook.msi运行后会启动多个恶意进程，包括：binhi_loader.exe和pPIXPGKwbqIV.exe。 binhi_loader.exe包含常驻控制、键盘记录、剪贴板替换、静默部署自定义的Rustdesk远控和内存加载等多种功能，该文件是由PyInstaller将Python代码打包成Windows可执行文件，可以通过反编译为py代码分析。 键盘记录组件能够监测用户的键盘输入，并将记录结果写入日志。相关信息可能涉及账号、密码及其他敏感内容，对用户隐私和账号安全构成威胁。 比对相关服务端代码发现，控制端的接收和处理键盘记录数据的功能，与客户端的信息收集逻辑相对应。 攻击者主要使用Rustdesk进行远程桌面控制，binhi_loader.exe会在后台维护一个rustdesk的子进程。攻击者将服务器地址硬编码到Rustdesk源码中，并在服务端代码中进行rustdesk的适配，可控制客户机的桌面、目录文件。 安装包中的clipboard_replacer.py具有监测和修改剪贴板内容的功能。 该组件会识别剪贴板中符合特定规则的数字货币地址，并尝试将其替换为预设地址。如果用户在转账时没有仔细核对收款信息，就可能造成资金损失。 除上述功能外，安装包还包含一个名为pPIXPGKwbqIV.exe的程序。 pPIXPGKwbqIV.exe是Nim编写的多阶段内存加载，最后回连到与该面板不同的服务器上，域名为ds4564ds6.cyou，判断该服务器域前置服务器。 pPIXPGKwbqIV.exe整个加载过程可以分为三个阶段分为pPIXPGKwbqIV加载shellcode，shellcode加载dll并运行。 pPIXPGKwbqIV程序从内部数据中恢复出下一阶段代码，并将其转入内存执行。 第一阶段恢复出的代码会继续处理内嵌数据，通过解压和内存映射等方式加载下一阶段DLL。 样本会运行内嵌数据恢复出第三阶段DLL包含网络通信、后续组件获取、内存载荷处理以及安全软件对抗等功能。 程序会尝试访问预设的远程服务器ds4564ds6.icu，获取名为ClientCode64_1、NewStagerCode64_3等后续组件。 代码中还包含对下载数据进行处理，以及在其他进程中运行后续载荷的相关逻辑。 攻击者可以根据需要调整服务器下发的程序，灵活更换或扩展恶意功能，为后续远程控制及其他恶意活动提供支持。 如果已有用户感染，在手动清理时，先断网并保存证据，再删除类似的计划任务IC003；清除Run启动项AppShell、ClipReplacer、BinhiLoader等，以及WMI订阅IC003_KF、IC003_KC和对应定时器。随后结束恶意进程，清理EdgeWebView\Components中的恶意文件。 同时，火绒安全还建议广大用户切勿从非官方渠道下载系统组件、办公环境补丁及破解软件，安装程序时仔细校验来源与签名。日常保持安全软件实时防护开启、定期全盘查杀，转账、登录等敏感操作务必手动核对信息，避免直接粘贴内容，有效规避此类伪装式恶意攻击风险。
作者： 浏览量：
关于比特信息
公司成立于2018年，坐落于粤港澳大湾区-中山，专注为中大型企业提供全套企业信息安全解决方案，包括但不限于服务器虚拟化、桌面虚拟化、信息安全、数据存储、行为管理、工控安全、私有云、公有云等服务。
Copyright © 广东比特信息科技有限公司 All Rights Reserved. 备案号：粤ICP备19007201号-1
技术支持电话：18825383068
联系方式
咨询电话
400-9909-139
中山市石岐街道江怡街2号富力中心2栋20楼2004
公众号二维码
关于比特信息
比特信息科技是一家专注于阿里云、网络安全及数据安全的企业，“诚信、专业、创新”是比特信息对待客户及合作伙伴的最基本原则。比特信息科技通过与各大软、硬件厂商的紧密合作，为用户提供优质、高效、实用的整体信息化解决方案，为客户提供阿里云、网络安全、主机安全、应用安全、数据安全等服务。
联系方式
咨询电话
139-2450-5487
中山市石岐街道江怡街2号富力中心2栋20楼2004
关注公众号
Copyright © 广东比特信息科技有限公司
技术支持电话：18825383068
