关于“魔盗”窃密木马

wwwab

CNCERT于2022年9月发布《关于“魔盗”窃密木马大规模传播的风险提示》


文章中写道：

近期，CNCERT 和安天联合监测到一批伪装成 CorelDraw、 Notepad++、IDA Pro、WinHex 等多款实用软件进行传播的窃 密木马。通过跟踪监测发现其每日上线境内肉鸡数(以 IP 数 计算)最多已超过 1.3 万，由于该窃密木马会收集浏览器书签、 邮箱账户等信息，故我们将命名为“魔盗”。

并统计了2022年8月3日至8月23日期间的数据，如下图所示：

不过看完报告觉得很熟悉，发现相关样本我于2022年6月就捕获到了（可见：https://bbs.kafan.cn/thread-2236658-1-1.html、https://bbs.kafan.cn/thread-2236659-1-1.html），样本名为“cdr版本转换器.exe”，我还炒过同源样本的冷饭。也就是说，早在2022年6月就已经出现了相关样本
分析报告文章最后预留的Ioc信息内存在相同文件名称：

6月份就捕获到的相关样本，与文中所述结构和行为以及“安装教程.docx”内容完全一致：

tdsskiller

可能当时还不流行？或者说厂商渠道不足？