注意！出现了伪装成“2019新型冠状病毒”相关文件的恶意代码

随着“2019新型冠状病毒”最终发展成“全球性大流行病”，恐惧和不安正在世界各地蔓延。与此同时，有关“2019新型冠状病毒”的假新闻、恶意制作的恶作剧视频等，也加剧了社会的混乱。再加上恶意代码制作者也加入其中，以各种形式利用“2019新型冠状病毒”问题传播恶意代码，因此需要特别注意。 

直到今年2月底，与“2019新型冠状病毒”相关的网络攻击主要都是冒充世界卫生组织（WHO）的电子邮件等垃圾邮件，或只是给用户带来不便的一些恶意代码。但是，随着“2019新型冠状病毒”的局势加剧，网络攻击也正在转变为更加恶意形式，并影响着人们不安的情绪。

AhnLab安全应急响应中心（AhnLab Security Emergency response Center，简称为ASEC）发现利用“2019新型冠状病毒”问题来在国内外传播的恶意代码，并通过博客提供详细信息。本文简要介绍此恶意代码的两种类型。

1.伪装成“2019新型冠状病毒疫情实时动态”程序的恶意代码 

ASEC分析小组发现伪装成与“2019新型冠状病毒”有关的恶意代码已在韩国和日本传播。该恶意代码为欺骗用户而打开一个弹出窗口，内容显示2019新型冠状病毒疫情实时动态。同时，在用户不知情的情况下在Temp路径中下载并运行恶意文件。 

该恶意代码将解码的数据注入（Injection）到特定进程中，该注入的数据在Temp路径中下载并运行名为“国内2019新型冠状病毒疫情实时动态.exe”的文件和“jjutest1.exe”恶意文件。该恶意文件是后门类恶意代码，它注册Run key以便自动运行，并试图连接到特定IP。

目前，V3产品群用以下诊断名检测相关恶意代码。 

<V3产品群诊断名> 

-       Malware/Win32.RL_Generic.R3617803 (2019.12.07.01)

-       Dropper/Win32.MSILKrypt.R327173 (2020.02.26.00)

-       Trojan/Win32.Fsysna.R202348 (2017.06.13.00)

2.伪装成特定宗教团体紧急联系方式的恶意代码

ASEC分析小组还发现伪装成特定宗教团体相关文件的恶意代码正在传播，而这些特定宗教团体导致了这次病毒的集体感染。

尽管相关文件看起来像是Excel（.xlsx） 或PowerPoint（.ppt）等文档文件格式，但实际上是一个*.scr文件，并且使用Unicode RLO（Right to Left Override）方式，使文件扩展名显示为.xlsx或.ppt。该*.scr文件一旦运行，就会在%TEMP%路径中创建3个具有不同功能的文件。 

-       [随机1].vbs：运行用于伪装的xlsx文件

-       [随机2].vbs：删除*.scr文件

-       services.exe：后门恶意代码

根据ASEC的分析结果，后门恶意代码services.exe被确认为Bisonal恶意代码。Bisonal恶意代码从2011年就开始持续对韩国国内机构及企业进行针对性攻击。不仅是个人用户，企业及机构安全负责人也有必要关注伪装成2019新型冠状病毒相关问题的恶意代码。

另外，由于该后门恶意代码已在注册表项（Registry Key）中注册，因此即使重新启动PC也会自动运行，并将受感染PC的名称、进程列表、OS版本等用户信息传送给攻击者，或者用于运行和终止文件以及下载其他文件。 

目前，V3产品群用以下诊断名检测该恶意代码。 

<V3产品群诊断名》>

Backdoor/Win32.Bisonal (2020.03.05.04)