页面加载时投放了一个混淆的 JS 文件，导致多阶段 Venom RAT 感染
原创
Z
Z
威胁情报Z分析
2026年10月17日 08:55
广东
去阅读
- RunPE.dll- Venombin.exe
随后使用 RunPE 通过 PowerShell\_ISE.exe 执行 Venom 载荷。
Venom 配置使用 AES-128-CBC（PKCS7 填充）和 HMAC-SHA256 认证进行加密。
解密后的配置：
- 版本：2.8.0.1- 标签：Bora- 互斥锁：1ZE2SECt9G0IYxD74o- C2：191.96.224[.]177:5552- 安装名称：Venombin.exe- 启动键：Venom Client Startup- 日志目录：Logs- 重连延迟：3000 毫秒
此构建还包含 HVNC、HRDP/RDP 访问、Foxmail 凭据恢复、RunPE 执行、远程鼠标/窗口控制、自我更新/删除以及其他 RAT 功能的代码。
此构建配置中的几个可选功能，包括 USB 传播、日志记录、防杀、启动安装和 Defender 干扰，均设置为 false。
IOCs
- 载荷主机：aircruzas[.]com- 第二阶段：hxxps://aircruzas[.]com/cim.png- C2：191.96.224[.]177:5552- 初始 JS 文件名：DCPp.js 8d6044c57c01dd009486646b6289c0995458ef24e959bccf8e3905edbcdb9229- 文件名：cim.png b94bf431da594900223f368c2c4580a0e829a10b2d129acdab80d5439af7ac29- 文件名：RunPE.dllcea0ffb8fa4a2fe273e91b2069e38993a4d80f263a90936e4e32a7cb12541534- 文件名：Venombin.exe3f20f7164dbab0ea460d50ac4a05e7b44b411128bf9729452319f9722e67d47d- 互斥锁：1ZE2SECt9G0IYxD74o- 持久化工件：meu_script_gerado23.bat
评论