語：本文將研究用于EvilExtractor的初始攻擊方法及其功能。
EvilExtractor（有時拼寫為Evil Extractor）是一種旨在針對Windows操作系統并從終端設備提取數據和文件的攻擊工具。它包括幾個通過FTP服務工作的模塊。它是由一家名為Kodex的公司開發的，該公司聲稱這是一款教育工具。然而，FortiGuard研究表明，攻擊者正在積極使用它作為信息竊取工具。
2023年3月，惡意活動顯著增加。FortiGuard實驗室在3月30日的一次釣魚電子郵件活動中發現了這種惡意軟件。它通常偽裝成合法文件，如Adobe PDF或Dropbox文件，但一旦加載，它就開始利用PowerShell的惡意活動。它還包含環境檢查和反虛擬機功能。其主要目的似乎是從受攻擊的終端竊取瀏覽器數據和信息，然后將其上傳到攻擊者的FTP服務器。
研究人員最近審查了一個被注入受害者系統的惡意軟件版本，作為分析的一部分，我們發現大多數受害者位于歐洲和美國。開發商于2022年10月發布了其項目，并不斷更新以提高其穩定性并加強其模塊。
本文將研究用于EvilExtractor的初始攻擊方法及其功能。
EvilExtractor在網上出售
初始訪問
帶有惡意附件的網絡釣魚電子郵件如下圖所示。它偽裝成一個帳戶確認請求。攻擊者還通過使用解壓文件的Adobe PDF圖標來欺騙受害者。PE標頭如下圖所示。
釣魚郵件
“Account_Info.exe”的文件標頭
執行文件是由PyInstaller封裝的Python程序。我們用pyinstxtractor提取它，發現它的主代碼文件“contain.pyc”中的“PYARMOR”字符串，是Python腳本的混淆工具，使惡意軟件更難被分析和檢測。我們從_pytransform.dll中提取了密鑰和iv，并使用AES-GCM解密了“contain.pyc”。
" include .pyc"中的代碼
除了Python程序之外，我們還觀察到了一個可以提取EvilExtractor的.NET加載程序。下圖是代碼的一部分。它包含Base64編碼的數據，該數據是PowerShell腳本。此執行文件由工具“PS2EXE-GUI”生成，該工具可以將PowerShell腳本轉換為EXE文件。
EvilExtractor的 .Net 代碼
EvilExtractor
在解密pyc文件之后，我們得到了EvilExtractor的主代碼。它是一個PowerShell腳本，包含以下模塊：
日期時間檢查；
反沙盒；
反虛擬機；
反掃描器；
FTP服務器設置；
竊取數據；
上傳被盜數據；
清除日志。
它首先檢查系統日期是否在2022.11.9和2023.4.12之間。如果沒有，則使用以下命令刪除PSReadline中的數據并終止：
然后，它比較產品模型，看看它是否匹配以下任何一個：VirtualBox、VMWare、Hyper-V、Parallels、Oracle VM VirtualBox、Citrix Hypervisor、QEMU、KVM、Proxmox VE或Docker，如下圖所示。它還將受害者的主機名與來自VirusTotal設備或其他掃描儀/虛擬機的187個名稱進行檢查，如下圖所示。
EvilExtractor比較產品模型以進行匹配
虛擬環境和掃描器/虛擬機檢查
通過環境檢查后，EvilExtractor從http://193[.]42[.]33[.]232下載三個用于竊取數據的組件。這些文件也是使用PyArmor進行混淆處理的Python程序。第一個是“KK2023.zip”，用于竊取瀏覽器數據并將其保存在“IMP_Data”文件夾中。它可以從Google Chrome、Microsoft Edge、Opera和Firefox中提取cookie。它還從以下瀏覽器收集瀏覽器歷史記錄和密碼：
第二個文件是“Confirm.zip”。它是一個將數據保存在“KeyLogs”文件夾中的鍵盤記錄器。最后一個文件“MnMs.zip”是一個網絡攝像頭提取器。其對應的代碼如下圖所示。
下載Keylogger和Webcam Snapshot函數的組件
EvilExtractor還通過PowerShell腳本收集系統信息，如下圖所示。下圖顯示了一個名為“Credentials.txt”的文本文件中的連接數據。
用于收集系統信息的PowerShell腳本
“Credentials.txt”的內容
EvilExtractor從Desktop和Download文件夾下載具有特定擴展名的文件，包括jpg, png, jpeg, mp4, mpeg, mp3, avi, txt, rtf, xlsx, docx, pptx, pdf, rar, zip, 7z, csv, xml和html。它還使用命令“CopyFromScreen”來捕獲屏幕截圖，代碼如下圖所示。
下載文件并獲取截圖
EvilExtractor從受攻擊的終端提取所有數據后，將其上傳到攻擊者的FTP服務器，如下圖所示。EvilExtractor的開發人員還為購買其惡意軟件的用戶提供了FTP服務器。
將文件上傳到攻擊者的FTP服務器
Kodex 勒索軟件
EvilExtractor還具有勒索軟件功能，它被稱為“Kodex勒索軟件”，如下圖所示。我們從上一節提到的.net加載程序中提取了此PowerShell腳本，其勒索軟件的腳本與其竊取程序的腳本相似。
來自evilextracom[.]com的介紹
它從evidtextractor[.]com下載“zzyy.zip”。解壓后的文件（一個7-zip的獨立控制臺）的詳細信息如下圖所示。下圖顯示了它利用“7za.exe”用參數“-p”加密文件，這意味著用密碼壓縮文件。它還生成一條保存在“KodexRansom”中的勒索消息。
“zzyy.zip”中的文件
Kodex勒索軟件的PowerShell腳本
勒索消息
總結
EvilExtractor是一個多功能信息竊取程序，具有包括勒索軟件在內的多種惡意功能。它的PowerShell腳本可以在.NET加載程序或PyArmor中躲避檢測。在很短的時間內，它的開發人員已經更新了幾個功能，并提高了它的穩定性。本文介紹了攻擊者如何通過網絡釣魚郵件發起攻擊，以及利用哪些文件來提取EvilExtracrtor PowerShell腳本。本文還詳細介紹了EvilExtractor包括哪些功能，它可以收集哪些數據，以及Kodex勒索軟件的工作原理。用戶應該警惕這種新的信息竊取程序，并謹慎打開可疑郵件。
攻擊鏈
翻譯自：https://www.fortinet.com/blog/threat-research/evil-extractor-all-in-one-stealer
??最省錢的天貓雙11已經開始倒計時，“霸道”總裁蔣凡說要給大家省500億，買得好買得省。今天發發給大家推薦雙11最值得買的100款商品！
喏，課代表作業借你抄，跟著買就對了↓↓↓
從11月1日起，天貓雙11“爆款清單”會場上線，這是官方發布的3000款最受歡迎商品清單。從手機淘寶首頁便能直達會場。在全場低價的基礎上，還能最高24期免息分期，從此下單再無須剁手。
【食品酒水】
百草味零食大禮包-千璽版
價格299 到手價138
復制這條信息vxrYsKaKFs$后打開手淘
貝因美菁愛3段奶粉
價格1740 到手價1280
復制這條信息?YrJTYsK187o?后打開手淘
艾格吃飽了秋日果子禮盒
價格188 到手價125
復制這條信息SVO0YsrbMIT后打開手淘
第八代五糧液普五整箱
價格13499 到手價7500
復制這條信息?DWa8YsK1880?后打開手淘
福利點：6期免息，每天41.67元
元気森林無糖0脂氣泡水24瓶
價格129.9 到手價98.9
復制這條信息?csdqYsuW9Cr?后打開手淘
認養一頭牛全脂純牛奶250ml*12盒*4整箱
價格276 到手價159
復制這條信息3UbKYsGBn6y后打開手淘
肌活鮮燉即食燕窩75g*3瓶
價格：488 到手價：358
復制這條信息$lnaDYsuurFV$后打開手淘
福利點：享3期免息，每天3.98元
【美妝個護】
香奈兒炫亮魅力唇膏黑金系列
價格350元
復制這條信息nH4kYsHCYYE后打開手淘
福利點：每件產品尊享2件體驗裝
MAC經典子彈頭唇膏
價格170元
復制這條信息?O3l9YsHv8pB?后打開手淘
福利點：贈紅金化妝包
雅詩蘭黛持妝粉底液
價格390元
復制這條信息?G9hAYsuh7h1?后打開
福利點：享小棕瓶眼膜2對+獨家精美日歷
潘婷3分鐘護發素
價格39.9元
復制3vWRYsunDRe這條信息后打開手淘
福利點：搶買1套送1套
寶拉珍選水楊酸煥彩精華液 控油去閉口精華
價格159—244元
復制￠gwpSYsHCY2V￠這條信息后打開手淘
福利點：買一送一
透真隔離霜妝前乳合一保濕
價格79元 到手價59.9
復制這條信息?6C1jYsHCYcV?后打開手淘
福利點：買一送一
海藍之謎精華乳霜
價格：760-3900元
復制VRAGYsunD77這條信息后打開手淘
福利點：尾款3期免息，每天8元
歐萊雅紫熨斗全臉眼霜
價格340元
復制$yLb0Ysuh77l$這條信息后打開手淘
福利點：搶限量加贈眼霜2支，買即送2支眼霜，到手共60ml
紀梵希散粉四宮格定妝粉
價格535元
復制?wCR6Ysuh77q?后打開手淘
福利點：預定贈同款正裝小鈴鐺散粉
一葉子鮮嫩水光面膜禮盒
價格79元 到手價69
復制?9VwQYsunD7u?這條信息后打開手淘
福利點：買二免一
skii神仙水230ml+小燈泡30ml+大紅瓶50g禮盒
價格3440元
復制X6Z5YsunDiL后打開手淘
福利點：搶限量加贈眼霜2支，買即送2支眼霜，12期免息，每天9.42元
ISDN煙酰胺淡斑煥白安瓶
價格379 到手價339
復制這條信息?3YzqYspNQ94?后打開手淘
歐樂B鎮店爆款電動牙刷
價格469起 到手價289起
復制這條信息$jjSzYspDTPc$后打開手淘
飛利浦電動牙刷組合（HX9362+9352）
價格2599 到手價1799（兩只）
復制這條信息 $tjoSYsHv8mv$后打開手淘
Swisse口服玻尿酸水光片
價格399 到手價329
復制這條信息ShO0Yspzfj5后打開手淘
歐珀萊小紫鉆抗皺緊實眼霜
價格280 到手價230
復制這條信息?0cHVYsK0pYc?后打開手淘
凡士林頸紋霜煙酰胺淡化干紋
價格149 到手價129
復制這條信息?QGxLYsFXsNl?后打開手淘
福利點：買一贈一
曲草堂電動潔面儀
價格：258 到手價：77
復制這條信息$TYDcYsFP9Ld$后打開手淘
福利點：享3期免息，每天0.86元
雅頓綠茶蜜滴身體霜
價格240 到手價199
復制這條信息$Ty0FYsFjzhI$后打開手淘
福利點：買500ml享750ml
半畝花田果酸身體乳
價格99 到手價34.9
復制這條信息?zYIYYsFkDlQ?后打開手淘
多芬深層滋養沐浴露乳
價格127 到手價79.9
復制這條信息?oqHCYsFnI7A?后打開手淘
福利點：買2瓶送2瓶
價格：558 到手價：408
復制這條信息￠Ady4YsFKJCt￠后打開手淘
福利點：付定金立減100
菲洛嘉眼霜靚麗360
價格399 到手價359
復制這條信息?oeVfYsFpvlZ?后打開手淘
3M口罩防霧霾15只裝
原價150 到手價79
復制這條信息?8fWGYsHv8nF?后打開手淘
【家清】
超能洗衣液整箱6瓶13斤
價格259 到手價99
復制這條信息?knk6YsFlqMn?后打開手淘
潔柔餐巾紙3層20包
價格100 到手價39.9
復制這條信息￠D6qFYsFOGlu￠后打開手淘
全棉時代一次性洗臉巾18包
價格414 到手價206
復制這條信息?wiC2YsHv8Nh?后打開手淘
福利點：前5000名買一送一
【數碼】
B&OH5 無線藍牙耳機
價格1298 到手價948
復制這條信息?JAwUYsKgf0B?后打開手淘
福利點：24期免息，每天1.29元
BoseQC30無線藍牙降噪耳機
價格2149 到手價1799
復制這條信息ko2NYsJ594J后打開手淘
福利點：24期免息，每天2.46元
SENNHEISER無線降噪耳機
價格2269 到手價1919
復制這條信息?gwFzYsJVC33?后打開手淘
福利點：6期免息，每天5.07元
微軟Surface Go平板電腦
價格4423 到手價3709
復制這條信息?bMkiYsKQsyh?后打開手淘
福利點：24期免息，每天5.07元
有道詞典2.0
價格879到手價749
復制這條信息?humoYsJVC3q?后打開手淘
OPPO Reno Ace手機
價格3199 到手價2999
復制這條信息?XyeKYsJ59gF?后打開手淘
福利點：贈OPPO原裝耳機
紅米k20pro
價格2999 到手價2799
復制這條信息?HqqfYsJ59hj?后打開手淘
福利點：6期免息，每天15.55元
價格；399 到手價：289
復制這條信息?TJyPYsFNR3d?后打開手淘
福利點：3期免息，每天3.21元
【家電】
米家壓力IH電飯煲1S
價格699 到手價599
復制這條信息?1R9RYsKW6LO?后打開手淘
貝克巴斯垃圾處理器E70
價格3899 到手價1999
復制這條信息￠kLn2YsK1E2n￠后打開手淘
福利點：6期免息，每天11.11元
小狗無線爆款除螨儀
價格699 到手價499
復制這條信息?M1ZQYspdoeL?后打開手淘
福利點：24期免息，每天0.68元
松下定制智能蒸烤箱
價格3999 到手價2999
復制這條信息?9TM7YspdoVP?后打開手淘
福利點：24期免息，每天4.10元
沁園家用大通量智能小新凈水器
價格3999 到手價2699
復制這條信息VVAmYsKaKGK后打開手淘
福利點：12期免息，每天2.46元，前2000名付尾款送復合濾芯
德施曼Q5全自動智能指紋鎖
價格2349 到手價1999
復制這條信息?umDLYsKaKvE?后打開手淘
福利點：24期免息，每天2.73元
海爾紫水晶洗烘一體洗衣機
價格7999 到手價4999
復制這條信息$RJfjYsKfcwW$后打開手淘
福利點：24期免息，每天6.84元
小天鵝水魔方洗烘一體機
價格7299 到手價4999
復制這條信息?EsaGYsK188p?后打開手淘
福利點：24期免息，每天6.84元
華帝抽油煙機燃氣灶套餐
價格6799 到手價3599
復制這條信息ZOVLYsJ59QO后打開手淘
福利點：24期免息，每天4.92元，送價值399元飛利浦凈水壺
華帝21m3揮手即開熱水洗煙灶
價格4699 到手價4199
復制這條信息J8muYsK18Rd后打開手淘
福利點：24期免息，每天5.74元
卡薩帝12KG雙層滾筒洗衣機
價格13999 到手價10999
復制這條信息?KPbdYsrR3Yi?后打開手淘
福利點：24期免息，每天15.04元
美的630升急速凈味冰箱
價格5999 到手價4999
復制這條信息?UEvgYsKaqac?后打開手淘
福利點：24期免息，每天6.94元
史密斯爆款智能凈水器
價格4288 到手價3788
復制這條信息$sUSEYsK18jW$后打開手淘
福利點：24期免息，每天5.18元
西門子進口洗碗機
價格5999 到手價4999
復制這條信息￠FPhLYsrk0wG￠后打開手淘
福利點：6期免息，每天27.77元
長虹4k激光電視機
價格12998 到手價9999
復制這條信息￠pq4ZYsJVCfN￠后打開手淘
福利點：3期免息，每天111.1元
米家激光投影儀4K版
價格13249 到手價11499
復制這條信息￠53CYYsJVCdh￠后打開手淘
福利點：3期免息，每天127.77元
松下迷你便攜式掛燙機
價格550 到手價369
復制這條信息?qPY8YspXhQm?后打開手淘
福利點：限量贈專屬收納袋
天貓魔屏M1
價格1299 到手價999
復制這條信息?39K3YsJ59Uw?后打開手淘
SKG頸椎按摩器
價格909 到手價699
復制這條信息$wZoWYsKIS4n$后打開手淘
福利點：24期免息，每天0.95元，支付尾款前1000名送美容儀
倍輕松AI眼精靈iSeeX
價格799 到手價399
復制這條信息dIwGYsK18iZ后打開手淘
福利點：3期免息，每天4.43元，送午睡寶貝
Bosch/博世 10公斤全自動洗衣機 WNA154U00W
預售價5899 券后5499
復制這條信息?KEYYYsHv8lU?后打開手淘
福利點：24期免息，每天7.52元
美的皮卡丘踢腳線暖風機
價格799 到手價549
復制這條信息￠wkdCYsHCbzi￠后打開手淘
福利點：24期免息，每天0.75元
Blueair/布魯雅爾空氣凈化器270ESlim
價格3399 前兩小時到手價2299
復制這條信息?4ZciYsHv8mg?后打開手淘
福利點：24期免息 ，每天3.14元
天貓精靈IN糖—有情緒的智能音箱
價格109
復制這條信息?Vs39YsxHJaw?后打開手淘
福利點：24期免息，每天0.15元
【家居】
喜臨門軟硬兩用床墊4D
價格1799 起到手價1449起
復制這條信息$sowSYsK18jm$后打開手淘
福利點：24期免息，每天1.98元
金橡樹云端乳膠床墊
價格1707-14059 到手價635-4259
復制這條信息?dz8GYspdo4W?后打開手淘
福利點：3期免息，每天5.47元
杜亞智能窗簾V5
價格858起 到手價379起
復制這條信息?2gDaYsKaKyb?后打開手淘
福利點：3期免息，每天4.21元
林氏木業北歐小戶型沙發
價格1112 到手價899
復制這條信息$hg8uYspdoVX$后打開手淘
fossflakes丹麥進口可水洗成人枕
價格：719，到手價：564
復制這條信息?PyFNYsFid9v?后打開手淘
福利點：尾款享3期免息，每天4.5元
日本95%鵝絨被
價格3069 到手2499
復制這條信息?YA6GYsHv8Nw?后打開手淘
福利點：12期免息 ，每天6.71元
【服飾】
雷朋王嘉爾同款太陽鏡
價格1101 到手價741
復制這條信息EyRWYsK7Qvw后打開手淘
Lily派克風狐貍毛領羽絨服
價格2119 到手價1199.5
復制這條信息?eMY3YsKnWKt?后打開手淘
潘多拉甜蜜愛情項鏈
價格596 到手價353
復制這條信息￠y4yfYsq9atF￠后打開手淘
施華洛世奇神秘月亮女項鏈
價格1290 到手價880
復制這條信息?Me8HYsJoknG?后打開手淘
福利點：12期免息，每天2.41元
JNBY江南布衣中長款羽絨服
價格1068 到手價604
復制這條信息$K38mYsuzk1E$后打開手淘
維密高度支撐排汗透氣快干運動文胸
價格358 到手價218
復制這條信息￠3v08Ysu7Aha￠后打開手淘
丹尼爾惠靈頓DW手表女28mm
價格1290 到手價1060
復制這條信息?SBVzYsFqDbY?后打開手淘
福利點：6期免息，每天5.88元
【運動休閑】
億健ELF爆款家用跑步機
價格1699 到手價1399
復制這條信息?zOqaYspdocm?后打開手淘
福利點：3期免息，每天15.54元
小米九號平衡車Plus
價格3199 到手價2999
復制這條信息?nFzsYsJ595S?后打開手淘
福利點：3期免息，每天33.32元
探路者三合一套絨沖鋒衣
價格699 到手價489
復制這條信息7pC1YspXsc9后打開手淘
福利點：3期免息，每天5.43元
麥瑞克merach街舞2同款筋膜槍
價格1119 到手價799
復制這條信息$ef1XYsJy8Kn$后打開手淘
福利點：3期免息，每天8.88元
安踏KT5正代簽名球鞋
價格674 到手價504
復制這條信息?TgNvYsKpCbu?后打開手淘
Nike耐克女子運動鞋氣墊休閑鞋AJ6910
價格1199 到手價739
復制這條信息?XzrYYsqPvKT?后打開手淘
Onitsuka Tiger鬼冢虎休閑鞋
價格325 到手價285
復制這條信息$dbeYYsJsakZ$后打開手淘
TUMI途明雙肩包
價格2340 到手價1790
復制這條信息HD14YsJaKRJ后打開手淘
福利點：12期免息，每天9.94元
希洛普鋰電池電動滑板車
價格1880 到手價1230
復制這條信息?LWpIYsFQeJo?后打開手淘
福利點：12期免息，每天3.37元
【母嬰】
babycare嬰兒濕巾80抽36包
價格579 到手價369
復制這條信息?kIeLYspdoe0?后打開手淘
貝因美菁愛3段奶粉
價格1740 到手價1280
復制這條信息?YrJTYsK187o?后打開手淘
童年時光鈣鎂鋅液體鈣
價格182.4 到手價164
復制這條信息￠ZtnbYsKaKAl￠后打開手淘
巴拉巴拉輕薄羽絨服4.0
價格199.9 到手價179.9
復制這條信息7hK0YsKaKCt后打開手淘
微麥K100早教投影儀
價格1799 到手價1399
復制這條信息?Yqd9YsJVCU6?后打開手淘
福利點：3期免息，每天15.54元
樂高Porsche911RSR賽車
價格1339 到手價1099
復制這條信息?S7CYYsKTKdx?后打開手淘
巴拉巴拉-大鬧天宮男童冬裝親子款外套
價格：598 到手價：449.9
復制這條信息￠CfPTYsujQ80￠后打開手淘
福利點：折上4件7折
康大兒童相機
價格：251起 到手價：216
復制這條信息?9m7GYsuH1Db?后打開手淘
福利點：全店滿400-100
犬印產后黃金束身套裝
價格：1686 到手價：1086
復制這條信息?NUcYYsuGeRA?后打開手淘
福利點：滿400-150
波司登兒童極寒大毛領羽絨服
價格：899 到手價：689
復制這條信息?Z1nTYsFWl6K?后打開手淘
福利點：直降200
火火兔早教視頻學習機
價格：1198 到手價：599
復制這條信息$Eq08YsuDCzl$后打開手淘
福利點：滿400-100
kinderkraft德國兒童平衡車學步車
價格：2999 到手價：599
復制這條信息7sUzYsuyigJ后打開手淘
福利點：滿400-100
好奇鉑金裝新生兒紙尿褲超薄nb84
價格：137 到手價：77
復制這條信息$M1HaYsFZj6i$后打開手淘
福利點：滿268-70
貝恩施兒童滑板車
價格：239 到手價：199
復制這條信息￠HPAjYsFbKa7￠后打開手淘
福利點：滿400-180
尤妮佳moony暢透紙尿褲M64*2
價格：517 到手價：322
復制這條信息?KzQYYsFYjlt?后打開手淘
福利點：預定兩組領券-300????