装个“系统组件”电脑竟被远控？顺藤摸瓜直击C2服务器后台

一、 概述

用户在日常使用WPS及各类办公软件、插件时，系统常会提示安装Microsoft Edge WebView2 Runtime。该组件为微软官方运行库，用于支撑程序展示网页弹窗、登录界面及在线服务，是常规办公环境依赖组件，因此多数用户会默认信任并安装，如下图，安装时必须确认链接为微软官方地址。

近期，火绒安全实验室在安全事件监测中发现，有恶意安装包仿冒该正规系统组件诱导用户安装。进一步分析发现，其后台捆绑多款恶意程序，可实现键盘记录、账号信息窃取、数字货币收款地址篡改、远程控机等恶意行为。整套恶意程序可静默驻留运行，用户难以感知异常。同时攻击者配备专属C2远程管理后台，能够批量管控受害设备、动态下发恶意指令，持续窃取用户隐私、操控终端。

通过对受害者机器进行分析，可定位至如下文件夹，该安装包在此文件夹内部署多套恶意软件设施。

恶意软件目录

目前，火绒安全产品已实现对该行为的拦截与查杀。

鉴于该恶意程序存在可能被攻击者利用的情况，建议开启火绒安全软件的风险软件监控——远程控制工具类。

二、 流程图

三、 溯源分析

为查明该恶意程序控制用户电脑的具体方式，火绒安全实验室对安装包中的核心组件进行了分析。研究人员发现，安装包内的binhi_loader.exe会在后台连接远程服务器，并定期接收控制指令。这表明，恶意程序安装完成后，攻击者仍可通过网络向受害电脑下发新的任务。

客户端网络回连代码

通过对回连地址的分析，可以找到攻击者的互联网基础设施。该面板默认自动填写账号密码，但是该密码无法登录系统。

C2前台页面

对该服务前端进行代码分析与接口测试，可发现该服务含未授权远程代码执行功能，该发现可为后续分析提供更多证据与说明。

目标前端代码审计

通过上述发现，对攻击者C2后台进行分析，发现该C2具备终端管理、远程任务调度及进程管理等功能。

相关界面显示，系统可能关联数十台受控终端。

四、样本分析

火绒安全实验室对恶意安装包icook.msi进行分析发现，该程序将自身伪装成Microsoft Edge WebView2 Runtime，并把多个组件安装到仿照正常软件的目录中，以降低用户的警惕性。icook.msi运行后会启动多个恶意进程，包括：binhi_loader.exe和pPIXPGKwbqIV.exe。

binhi_loader.exe包含常驻控制、键盘记录、剪贴板替换、静默部署自定义的Rustdesk远控和内存加载等多种功能，该文件是由PyInstaller将Python代码打包成Windows可执行文件，可以通过反编译为py代码分析。

恶意功能配置

键盘记录组件能够监测用户的键盘输入，并将记录结果写入日志。相关信息可能涉及账号、密码及其他敏感内容，对用户隐私和账号安全构成威胁。

键盘记录功能

比对相关服务端代码发现，控制端的接收和处理键盘记录数据的功能，与客户端的信息收集逻辑相对应。

服务端键盘窃取代码

攻击者主要使用Rustdesk进行远程桌面控制，binhi_loader.exe会在后台维护一个rustdesk的子进程。攻击者将服务器地址硬编码到Rustdesk源码中，并在服务端代码中进行rustdesk的适配，可控制客户机的桌面、目录文件。

Rustdesk部署代码

Rustdesk源码中服务器地址

Rustdesk服务端代码

安装包中的clipboard_replacer.py具有监测和修改剪贴板内容的功能。

该组件会识别剪贴板中符合特定规则的数字货币地址，并尝试将其替换为预设地址。如果用户在转账时没有仔细核对收款信息，就可能造成资金损失。

剪切板替换

除上述功能外，安装包还包含一个名为pPIXPGKwbqIV.exe的程序。

pPIXPGKwbqIV.exe是Nim编写的多阶段内存加载，最后回连到与该面板不同的服务器上，域名为ds4564ds6.cyou，判断该服务器域前置服务器。

pPIXPGKwbqIV.exe整个加载过程可以分为三个阶段分为pPIXPGKwbqIV加载shellcode，shellcode加载dll并运行。

pPIXPGKwbqIV程序从内部数据中恢复出下一阶段代码，并将其转入内存执行。

加载器main函数

执行载荷逻辑

第一阶段恢复出的代码会继续处理内嵌数据，通过解压和内存映射等方式加载下一阶段DLL。

解压DLL数据

样本会运行内嵌数据恢复出第三阶段DLL包含网络通信、后续组件获取、内存载荷处理以及安全软件对抗等功能。

杀软对抗

程序会尝试访问预设的远程服务器ds4564ds6.icu，获取名为ClientCode64_1、NewStagerCode64_3等后续组件。

网络请求

代码中还包含对下载数据进行处理，以及在其他进程中运行后续载荷的相关逻辑。

进程注入

攻击者可以根据需要调整服务器下发的程序，灵活更换或扩展恶意功能，为后续远程控制及其他恶意活动提供支持。

五、火绒防护建议

如果已有用户感染，在手动清理时，先断网并保存证据，再删除类似的计划任务IC003；清除Run启动项AppShell、ClipReplacer、BinhiLoader等，以及WMI订阅IC003_KF、IC003_KC和对应定时器。随后结束恶意进程，清理EdgeWebView\Components中的恶意文件。

同时，火绒安全还建议广大用户切勿从非官方渠道下载系统组件、办公环境补丁及破解软件，安装程序时仔细校验来源与签名。日常保持安全软件实时防护开启、定期全盘查杀，转账、登录等敏感操作务必手动核对信息，避免直接粘贴内容，有效规避此类伪装式恶意攻击风险。

六、样本IOC