#SiMay #RAT 最新活动

wwwab

近日，在日常样本捕猎过程当中发现某下载者木马样本(f5d0abac34f6df22ba1a3dd83a226926aebfeddbdbd883c5e15ed4bbe39e55af)行为可疑

根据URL找到了样本配置信息：

其中包含quanshiyu2022、quanshiyu2022@163.com等字样

又找到了样本的云控下载配置（https://note.youdao.com/yws/publ ... 49b8ab5f6a3bef8ff43）：

经过反复测试，确认样本目前下载衍生物的URL格式地址为：https://note.youdao.com:443/yws/ ... 2bcbe0fedf89106d323
xxx部分需要换成"p":后面第二个斜杠后面的WEB参数值，可根据样本的云控下载配置获取对应的文件名和WEB参数值

白加黑文件位于解压后的\package内
此处随机下载n.zip与g.zip进行说明：


Loader低检测率：


进一步追踪发现与https://baijiahao.baidu.com/s?id=1732315416748421241文章样本行为与衍生物结构基本一致，由原本的GLUT32.dll更换为了更先进的白加黑方式