恶意WebDAV载荷中转站深度研判报告

原创

CyberOk
CyberOk

CyberOk

2026年7月7日 17:26
北京

在小说阅读器读本章

去阅读

经对目标URL（http://46.101.XXX.XXX:8080/）的在线探测、目录枚举、关键样本下载与静态分析，并结合既有《匿名WebDAV载荷服务器关联Windows窃密远控工具全链路研判分析》交叉验证，确认该节点为一套持续运维中的Windows黑产窃密/远控工具链专属载荷分发基础设施。

一、执行摘要

该服务器运行于DigitalOcean法兰克福机房（AS14061），对外暴露WsgiDAV/4.3.4匿名读写WebDAV服务（TCP/8080），同时通过DuckDNS动态域名gogettate.duckdns.org解析至同一IP，在HTTPS/443由nginx提供面向受害终端的载荷下发通道。站点内可见完整攻击组件源码、迭代备份、钓鱼诱饵、便携Python环境及DLL劫持模块，具备明显的专业化黑产运维特征。

·威胁等级：极高（活跃C2/载荷节点，匿名可写，工具链完整且持续迭代）

·主要危害：剪贴板加密货币地址劫持、浏览器凭据窃取、多重持久化、Defender排除与Office宏绕过

·攻击入口：伪装Q1财报的钓鱼HTML/ZIP/DOCM/LNK/HTA多载体投递

·关联域名：gogettate.duckdns.org→46.101.XXX.XXX

·样本时间线：2026-06-23至2026-07-07持续更新

二、目标基础设施画像

2.1 网络与托管信息

2.2 双通道架构

实测发现攻击基础设施采用「开发/运维面+投递面」双通道设计：8080端口运行WsgiDAV目录浏览服务，完整暴露/payload/目录下70+文件及大量bak\_\*迭代备份，便于攻击者直接上传、调试、版本管理；443端口由nginx反向代理，仅允许按文件名下载（目录列表返回403），面向受害者终端通过curl/BitsTransfer静默拉取，降低暴露面。

部分早期加载器（如loader.vbs）仍硬编码http://46.101.XXX.XXX:8080直连地址（字符串拆分规避检测），而新版脚本（run.bat、s0.bat、svc32.py、payload.hta等）已统一迁移至https://gogettate.duckdns.org/data/，说明攻击者正在进行域名化与HTTPS加固，但WebDAV调试端口仍未关闭。

2.3 根目录与关键子目录

三、载荷目录详细清单

以下为核心恶意组件分类（含实测文件大小与最后修改时间，来源于在线目录枚举）：

目录内还存在大量bak\_sig、bak\_digest、bak\_prefaze\*、bak\_wmifix等备份文件，覆盖签名修复、摘要校验、虚拟机规避、TCP通信、WMI修复等专项迭代，证明工具链处于高频开发维护状态。

四、攻击链路还原

4.1 投递阶段

攻击者以「Q1 2025财务季报」为主题进行社会工程钓鱼。诱饵包括：根目录Q1\_Report.pdf.lnk快捷方式、pdfdownloader/目录副本、payload/Q1\_Report.pdf.html（伪装AdobeAcrobat土耳其语安全下载页，自动跳转下载ZIP）、Q1\_Report.pdf.zip（密码Q1-2025）、Q1Quarterly Report 2025.docm（宏文档）。HTML页面在DOMContentLoaded后300ms自动触发下载https://gogettate.duckdns.org/data/Q1\_Report.pdf.zip。

4.2 落地与加载

典型加载链（以run.bat→svc32.py→d32.py为例）：

·run.bat使用curl-sk忽略证书校验，从C2下载svc32.py至%TEMP%

·按优先级探测Python：%APPDATA%\...\Themes\Cache\PythonHelper、系统Python 3.9–3.14、%TEMP%\pyemb，若无则下载py.zip解压

·以start/Bpythonw无窗口后台执行svc32.py

·svc32.py检测调试器（IsDebuggerPresent）与VM注册表（VBoxGuest/VMware/vmhgfs），命中则休眠300–600秒后退出

·部署持久化：Startup\AcrobatUpdSvc.py、HKCU Run\AcrobatUpdSvc、计划任务AcrobatUpdateService

·从https://gogettate.duckdns.org:443/data/d32.py下载二级木马，TEMP路径自删除后exec执行

4.3 深度驻留与对抗（s0.bat/acset.ps1）

·修改Office Word/Excel ProtectedView与VBAWarnings注册表，禁用受保护视图与宏警告

·通过wsreset UAC bypass+fodhelper注册表劫持添加Defender排除路径（Themes\Cache、TEMP、pythonw.exe）

·伪装目录：%APPDATA%\Microsoft\Windows\Themes\Cache\ThemeService.py

·计划任务ThemeSvcCheck（每2分钟）、ThemeSvcMaint（每22小时）通过隐藏wscript执行

·COM劫持：注册ThemeUI.dll至ShellIconOverlayIdentifiers/ThemeSvcHelper

·DLL侧载：将VERSION.dll复制至OneDrive/Teams/Zoom等目录实现劫持

·WMIEvent Subscription持久化（ThemeEvtFlt/ThemeEvtCns）

·d32.py头部inlinepatch AMSI（AmsiScanBuffer）与ETW（EtwEventWrite）

4.4 窃密与牟利模块

ccu.py（Chrome Credential Utility）通过DPAPI+PowerShell解密Chrome Login Data SQLite数据库中的密码，并将窃取数据POST至C2中继https://gogettate.duckdns.org:443/api/ccu/report，同时硬编码Gmail外泄账号（XOR混淆已解密）。

dbwclip.py实现剪贴板监控线程，当检测到XRP地址格式时替换为攻击者钱包rH1d7gnvLHMfLAL9GBY9sbdsvLNS5EdKur；allcoins.py对BTC/ETH/TRX/XRP/LTC/DOGE/SOL/ADA等币种进行劫持功能自测。

五、关键样本静态分析

5.1 svc32.py要点

字符串经chr()拼接隐藏；C2为https://gogettate.duckdns.org:443/data/d32.py；持久化伪装名AcrobatUpdSvc；SSLverify\_mode=CERT\_NONE。

5.2 d32.py要点

约199KB，主体为base64+marshal多层混淆的Python字节码；启动时写入Run键ThemeSvcHelper；inlinepatchAMSI与ETW；实际功能包括远控通信（acset.ps1中引用TCP 4444检测）、剪贴板劫持、凭据窃取等（与目录内专项模块一致）。

5.3 VERSION.dll劫持逻辑

恶意VERSION.dll代理系统version.dll全部导出函数，在DllMain创建工作线程，定位Python解释器后执行Microsoft\Windows\Themes\Cache\ThemeService.py。缓存目录：Microsoft\Windows\Themes\Cache。

5.4 loader.vbs与payload.hta

loader.vbs使用BitsTransfer从硬编码IP（字符串拆分'46.101'+'XXX.XXX:8080'）下载py.zip与WinMgmtSvc.py，并写入Run键WinMgmtSvc2；payload.hta最小化隐藏窗口，通过curl下载s0.bat并执行。

六、IOC汇总

6.1 网络IOC

6.2 主机IOC

6.3 外泄账号（已解密，建议封禁）

七、与参考报告交叉验证

用户提供的《匿名WebDAV载荷服务器关联Windows窃密远控工具全链路研判》所述组件名称、时间线（2026-06-23至2026-07-04）、技术特征（WsgiDAV4.3.4、anonymous读写、svc32.py/d32.py/VERSION.dll等）与本次在线实测完全一致。本次补充发现：

·C2已域名化至gogettate.duckdns.org，HTTPS/443nginx为实际投递通道

·8080WebDAV仍对外开放，暴露完整开发目录与备份

·新增up.bat远程更新脚本（2026-07-06）及Q1QuarterlyReport2025.docm

·s0.bat集成Office Protected View禁用与wsreset UAC bypass添加Defender排除

·acset.ps1含WMI Event Subscription与TCP 4444连接状态检测逻辑

·服务器截至2026-07-07仍活跃，d32.py于07-06更新

八、威胁评估与处置建议

8.1 威胁评估

综合判定：该URL并非正常业务站点，而是活跃的Windows窃密/远控黑产工具链「载荷中转与开发运维节点」。工具链模块化程度高、对抗手段成熟、持久化层次多、具备远程热更新能力，对政企Windows终端构成极高威胁。

8.2 网络层处置

·立即封禁46.101.XXX.XXX全部端口（至少8080、443、4444）

·DNS封锁gogettate.duckdns.org

·向DigitalOcean [email protected]提交滥用报告（附IOC与WebDAV目录截图）

·向DuckDNS报告恶意子域名

·部署Suricata/Snort规则检测对/data/svc32.py、/data/d32.py、/payload/的HTTP请求

8.3 终端层处置

·全网狩猎IOC：ThemeService.py、ThemeSvcCheck计划任务、pythonw异常进程

·检查%APPDATA%\Microsoft\Windows\Themes\Cache\目录及COM劫持注册表

·排查Defender排除项是否被篡改（特别是Themes\Cache、pythonw.exe）

·检查Office Protected View注册表是否被s0.bat修改

·对命中终端做内存+磁盘取证，重点关注剪贴板劫持与Chrome凭据外泄

8.4 检测规则建议

·YARA：检测chr()拼接+duckdns+marshal.loads组合特征

·Sigma：schtasks创建ThemeSvcCheck/ThemeSvcMaint

·Sigma：regadd Office ProtectedView DisableProtectedView

·网络：TLS SNI=gogettate.duckdns.org且URI含/data/\.py或/data/\.bat

九、分析限制说明

·d32.py主体为marshal混淆字节码，本次未做动态脱壳，功能细节部分来自关联模块与头部明文逻辑

·FOFA主机画像接口因网络原因未返回，IP归属采用ipinfo.io实测

·未对恶意DLL做PE逆向，VERSION.dll行为来自VERSION.c源码分析

·分析样本均从liveC2下载，存在攻击者随时更换载荷的风险

参考资源：http://46.101.XXX.XXX:8080/payload/