3 [通用GITHUB投毒免杀工具安装木马攻击活动的详细分析]

前言概述

通过github投毒的攻击事件之前发生过不少，笔者此前也分析过好几例，有些网友也给笔者发过一些相关的攻击样本，大家从网上下载的安全工具或免杀工具一定不要随便在自己机器上运行，很有可能这些工具就自带后门木马，偷偷摸摸就给你安装了一个后门在你电脑上监控你。
近日笔者发现了一个免杀工具被修改，然后利用github上投毒，原版的免杀工具是开源的，如下所示：
 

攻击者在2024年5月7日，加入github项目，然后上传带有后门的工具，如下所示：
 

攻击者一共上传了三个相关的工具，如下所示：
 

最新上传的工具，如下所示：
 

笔者对这个github上的几个工具攻击样本进行了详细分析，供大家参考学习。

详细分析

Origami-Crypter-Packer-Bypassing-WD与FUD-Crypter-Windows-Defender样本分析

1.样本下载解压缩之后，包含两个文件，如下所示：
 

2.Origami.exe程序在入口点代码处添加了恶意代码，会从网上下载执行恶意脚本，如下所示：
 

3.Runtime.dll程序在入口点代码处添加了恶意代码，会从网上下载执行恶意脚本，如下所示：
 

4.上面两个程序连接远程URL链接tinyurl[.]com/win-nt 下载的恶意脚本，如下所示：
 

5.恶意脚本会在%temp%上生成一个恶意模块文件DriverDiagnosis.dll，并设置为系统隐藏属性，然后通过REGSVR32程序调用该恶意模块，如下所示：
 

6.恶意模块从远程服务器下载执行恶意脚本，如下所示：
 

7.从URL链接下载的恶意脚本，如下所示：