简历中居然藏有木马细思恐极-德赢Vwin官网网

神秘邮件

前几天，公司HR在群里发来了一条消息，说收到一封非常可疑的简历邮件。

不枉公司三令五申的信息安全意识培养，咱们的HR小姐姐能有这样的敏锐意识，得给她点个赞！

最近部门确实在进行人员招聘，也进行了大量的招聘宣传，每天都要收到不少的简历邮件，但这封邮件却透露着些许古怪。

邮件的正文没有任何信息，只有一个附件：简历.pdf

首先，咱们正常人投个简历，怎么着也会在正文中简单介绍一下自己吧？谁会像这样直接留白呢？

其次，附件简历的文件名一般都会包含职位、名字等信息吧？就像小L-安全研发工程师-个人简历.pdf，谁会直接就叫“简历”啊？

沙箱分析

拿到这个pdf文件，别急着打开，弄到虚拟机沙箱中，看一下这货能不能现出原形。

pdf文件打开一切看起来正常，确实像是一封真实的简历，就连应聘人的需求都是匹配的，但查证后发现，其中的联系方式全都是虚构的，简历内容基本是网络找来东拼西凑+虚构伪造出来的。

再来看一下样本的行为分析，看看有没有什么可疑的行为。

我嘞个去！不看不知道，这家伙居然释放了一个程序出来到临时文件夹，然后把它给执行了起来！

去临时文件夹中试图找到这个文件，结果发现文件没了：

看来这家伙有点能耐啊！

临时写了个脚本，在虚拟机后台运行，不断检测备份临时文件夹下的文件。

再一次跑了一下样本文件，总算把这个释放出来的exe给逮住了。

逆向分析

接下来送它进反汇编神器IDA，扒掉这家伙的底裤。

打开一看，好家伙，我直呼好家伙！也不加个壳啥的，直接裸奔，连基本的指令优化都没开，这还不给我扒个底朝天。

很快，我发现了一个有意思的地方：

这货在遍历文件目录，像是在搜索什么东西。

找到文件过滤的地方，这里是一个数组，在遍历寻找数组中的内容。

接下来，看一下过滤的字符串，高能来了！！！

居然在找简历、offer、工程师关键字的文件！！！

这是什么骚操作？

后面还有一段逻辑，是检测文件的MD5，防止把自己人“简历.pdf”当做了目标。

拿到文件后呢，接着追溯起来，代码找起来太慢了，还是放沙箱里面抓行为吧。

把这个exe再一次送进沙箱分析，来看一下网络请求。

遗憾的是，并没有发现有网络请求，猜测是没有拿到目标文件所以没有传送？

于是我又构造了一个假的Java研发工程师.pdf文件，来钓钓鱼。

再来一次，果不其然，鱼儿上钩了，这一次抓到了一个网络请求：

一个神秘的域名DNS解析！限于沙箱的隔离环境，这个请求实际上并没有成功，所以也就没有后续对这个域名的请求了。

遗憾的是，这个域名现在已经关闭了，没法访问，难道是别人先一步发现了吗？

复盘

案情的全貌浮出了水面：

HR的邮箱收到了一个藏有木马的《简历.pdf》文件，文件打开后会释放并执行一个木马程序xxx.exe（随机名）。

接着木马会遍历磁盘目录，寻找文件名中包含简历、offer、工程师三个关键字的文件。

拿到文件后，会通过网络请求将拿到的文件发送出去！

究竟是谁会做这样的事？细思恐极！

责任编辑：xj

原文标题：年轻人不讲武德，居然在简历中藏木马

文章出处：【微信公众号：数据分析与开发】欢迎添加关注！文章转载请注明出处。

声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表德赢Vwin官网网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。举报投诉

编程

编程

+关注

关注
88

文章
3614

浏览量
93685
木马

木马

+关注

关注
0

文章
47

浏览量
13329
源代码

源代码

+关注

关注
96

文章
2945

浏览量
66730

原文标题：年轻人不讲武德，居然在简历中藏木马

文章出处：【微信号：DBDevs，微信公众号：数据分析与开发】欢迎添加关注！文章转载请注明出处。

华为海思正式进入Wi-Fi FEM赛道？

转载自——钟林谈芯昨天在网上看到一份九联UNR050 BE3600无线路由器拆机报告，Wi-Fi主芯片是海思新款Wi-Fi7芯片Hi1155，速率2.5G。在海思AP Wi-Fi芯片系列中，还有

发表于 12-11 17:42

三极管在无线电中的应用

三极管，作为一种基本的电子元件，自从1947年被发明以来，就在电子技术领域扮演着至关重要的角色。在无线电技术中，三极管的应用尤为广泛，它不仅能够放大信号，还能作为振荡器、开关等使用。三极

发表于 11-01 15:13 •376次阅读

TPA3251能足功率输出吗？

请问TI的工程师，TPA3251芯片的管脚和3116一样细，而且输出B,C都只有一个管脚，这么细的管脚居然能输出175w的功率，请问TI是如何做到的，能足功率输出吗？

发表于 10-30 07:43

用TPA4411过程中，发现静态电流居然达100MA左右，为什么？

用TPA4411过程中，发现静态电流居然达100MA左右，这对电池供电的产品来说，要命啊，是芯片特性还是芯片问题？求解

发表于 10-25 06:12

BMS板中思开MOS如何选型？

选型推荐|BMS板中思开MOS如何选型？

发表于 10-24 10:35 •371次阅读

思必驰助力极氪7X上市，树立纯电SUV新标杆

日前，极氪汽车旗下全新大五座纯电SUV——极氪7X正式上市。作为极氪汽车又一力作，极氪7X在设计、配置和技术上都展示了极氪品牌的积淀与创新。

发表于 10-14 14:12 •310次阅读

电感器线径究竟是粗好还是细好

德赢Vwin官网网站提供《电感器线径究竟是粗好还是细好.docx》资料免费下载

发表于 09-20 11:25 •0次下载

OPA2277双运放只接稳压电源，两个输出居然有类似方波输出是怎么回事？

约等于0V，4脚-5V，8脚+5V！问题来了：1脚OUTA和7脚OUTB居然都有类似方波的周期性峰峰值为7～8V的信号！这个信号从何而来？1、7脚在没有信号输入的情况下不也应该为0V么！？求各位大神了。百思不得其解。特别急

发表于 09-09 08:07

偏极继电器用在什么电路中

偏极继电器是一种特殊的继电器，它利用偏极原理来实现电路的自动控制。在许多电子设备和系统中，偏极继电器都有广泛的应用。本文将详细介绍偏极继电器

发表于 06-29 09:36 •1334次阅读

友思特应用 | 低成本OCT成像技术，助力软包电池极耳胶带多维度检测应用

新能源电动汽车的发展促进了高性能电池材料的机器视觉检测技术需求。友思特采用低成本光学相干断层扫描技术，满足2D/3D成像、分析内部外部尺寸与缺陷、高精度无损检测需求，为极耳贴胶正反检测等应用开发了新型高效的解决方案。

发表于 05-23 15:04 •819次阅读

润和软件与新疆思极就数字电网人工智能业务达成战略合作

近日，江苏润和软件股份有限公司（以下简称“润和软件”）与新疆思极信息技术有限公司（以下简称“新疆思极”）开展战略合作交流，围绕共建“数字电网人工智能产研联合培育基地”举行签约暨揭牌仪式

发表于 05-11 09:54 •479次阅读

20454系列极细同轴线的使用特点

极细同轴线的结构特点是屏蔽非色散，同轴线中导波的主要模式是TEM波，其特点是可以同时传输TE模式和TM模式，其截止频率为零，相应的截止波长趋于无穷大。主要是由两条同轴的内外导体和中间的电介质组成的双

发表于 05-09 17:33 •583次阅读

思必驰为极氪007全面提升智舱空间流畅性

近日，极氪宣布首款纯电豪华轿车极氪007正式上市，并于1月1日开启交付。新车将搭载由思必驰提供智能语音技术的ZEEKR 007 OS 6.0操作系统，以“极致开放”为开发理念，全面提升智舱空间流畅性。

发表于 01-22 13:52 •847次阅读

居然智慧家战略发布，力合微PLC技术为智能家居革新

1月15日，居然智慧家“人车家”战略发布会暨居然智慧家东直门总店和通州旗舰店开业庆典在北京成功举行，居然之家智能家居战略规划正式发布：“计划三年内在全国开出500家居然智慧家门店。”在

发表于 01-17 08:10 •402次阅读

二极管在电力整流中的作用

二极管在整流器动态应用中都扮演着重要的角色，全桥整流器中，它用于将交流电转换为直流电，降压转换器中的续流二极管，反激转换器中的升压二

发表于 12-25 11:30 •1572次阅读