概览
近期，安天CERT监测到通过镜像下载站传播的攻击活动。攻击者将Torrent资源投放至Windows操作系统镜像下载站中，诱导用户安装使用看似纯净的系统。实际上，攻击者事先将恶意文件隐藏于指定路径中，通过计划任务实现自启动，并利用EFI系统分区规避安全产品的检测，最终执行剪贴板劫持器以盗取加密货币。
EFI系统分区中包含操作系统的引导加载程序及相关文件，该分区在Windows系统中一般是不可见的，且安全产品通常不会对EFI分区中的文件进行扫描。在此次攻击活动中，攻击者利用恶意软件挂载EFI系统分区并将其余恶意文件复制到该分区中，以此规避安全产品的检测。
攻击者可以隐蔽地将恶意软件植入系统中，将其封装成镜像文件投放至各种下载站中。用户应提高安全意识，避免从非官方途径获取系统镜像资源，看似安全的免费资源中可能存在安全隐患。
表 1‑1 攻击活动概览
经验证，安天智甲终端防御系统（简称IEP）可实现对恶意软件的有效查杀。
技术梳理
攻击者将Torrent资源投放至系统镜像下载站中，诱导用户下载、使用被恶意篡改的系统镜像。此类网站提供大量Windows操作系统的免费镜像资源，其中很有可能混入被恶意篡改的镜像。
图 2‑1攻击者投放Torrent资源
攻击者事先将恶意程序放至%SystemRoot%\Installer中，并创建相应的计划任务。当用户使用被恶意篡改的镜像安装Windows操作系统后，iscsicli.exe通过计划任务进行自启动，挂载EFI系统分区并将其余恶意文件复制到该分区中，以此规避安全产品的检测。该恶意程序最终注入恶意DLL，持续监控剪贴板中的内容，当匹配到加密货币钱包地址时将其替换为攻击者的钱包地址，从而将收益转移至攻击者账户中。
图 2‑2恶意载荷文件
样本分析
iscsicli.exe
该恶意程序伪装成操作系统中的合法程序，其数字签名无效。
图 3‑1无效的数字签名
该程序运行后在M盘中挂载EFI系统分区。
图 3‑2挂载EFI分区
随后将其余两个文件复制到新挂载的分区中、删除原路径中的文件，执行新路径中的recovery.exe，并最终卸载EFI分区。
表 3‑1复制载荷文件
recovery.exe
recovery.exe运行后，创建执行%SystemRoot%\System32\Lsaiso.exe进程，使用远程线程注入技术，在该进程中创建线程加载kd_08_5e78.dll。
图 3‑3远程线程注入
kd_08_5e78.dll
该DLL执行后，扫描当前系统中运行的进程是否存在某些安全工具。
图 3‑4检查进程名称
若当前系统中未运行以上进程，获取剪贴板中的内容，根据加密货币钱包地址的格式检测该内容的开头字符及长度，若匹配则将剪贴板中的加密货币钱包地址替换为攻击者的钱包地址，从而转移加密货币。
图 3‑5替换钱包地址
该剪贴板劫持器替换用户钱包和攻击者钱包的对应关系如下表所示。
表 3‑2替换用户钱包和攻击者钱包的对应关系
防护建议
为有效防御此类攻击事件，提升安全防护水平，安天建议政企机构采取如下防护措施：
网站传播防护
1.建议使用官方网站下载的正版软件。如无官方网站建议使用可信来源进行下载，下载后使用反病毒软件进行扫描；
2.建议使用沙箱环境执行可疑的文件，在确保安全的情况下再使用主机执行。安天追影威胁分析系统（PTA）采用深度静态分析与沙箱动态加载执行的组合机理，可有效检出分析鉴定各类已知与未知威胁。
终端防护
1.安装终端防护系统：安装反病毒软件，建议安装安天智甲终端防御系统；
2.加强口令强度：避免使用弱口令，建议使用16位或更长的口令，包括大小写字母、数字和符号在内的组合，同时避免多个账号使用相同口令。
事件对应的ATT&CK映射图谱
针对攻击者投递剪贴板劫持器的完整过程，安天梳理本次攻击事件对应的ATT&CK映射图谱如下图所示：
图 5‑1技术特点对应ATT&CK的映射
攻击者使用的技术点如下表所示：
表 5‑1事件对应的ATT&CK技术行为描述表
黑客&网络安全如何学习
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
1.学习路线图 
攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。
（都打包成一块的了，不能一一展开，总共300多集）
因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取
3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。
因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。
还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。
因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取
最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取
