概述

  近日瑞星威胁情报平台在日常运营中捕获到了一起使用有效数字签名进行伪装的恶意攻击，此次攻击中所使用的恶意文件在VirusTotal上的检出非常低，一度只有2家安全厂商检出。样本内部也进行了一定混淆，所使用的关键API与字符串均为解密后动态调用，且将解密C2的方法与文件名进行了绑定企图绕过沙箱分析和人工调试，最终回连C2获取后续的恶意载荷，接下来就对其进行详细分析剖析其使用的免杀方法。