网络安全
近期，亚信安全截获伪装成“Synaptics触摸板驱动程序”的新型蠕虫病毒，该病毒具有很强的传播性，既可以通过带有恶意宏代码的Excel文件传播，也可以通过对正常的EXE文件进行偷梁换柱（将正常的EXE文件内容复制更新到病毒自身的资源段中）的方式传播。亚信安全将其命名为Worm.Win32.OTORUN.KAT。
当设备感染该病毒后，其会拦截用户新建Excel文件或者打开Excel文件的行为，并将新建或者打开的Excel文件替换成带有恶意宏代码的文件（亚信安全检测为：TROJ_FRS.0NA103BE18），恶意的宏代码主要功能是下载并执行病毒的主体文件Synaptics.exe（亚信安全检测为：Worm.Win32.OTORUN.KAT），进一步感染其他设备。
新型蠕虫病毒执行流程
新型蠕虫病毒详细分析
当用户在桌面上打开EXE可执行文件时，该病毒首先会复制自身，然后将用户打开的文件更新到刚刚复制的病毒文件的资源段中，最后替换原始的文件。这个感染过程不会破坏原始的文件功能，用户点击该文件后，仍然会执行原始文件的功能，但实际该文件已经被病毒文件所替换，设备感染了病毒，由于其感染方式较为隐蔽，所以用户很难察觉到异常。
病毒主体信息和伪装的安装过程如下所示：
宏文件分析
该病毒主体文件的资源段内包含此恶意的宏文件，如下图所示：
使用oletools工具dump此宏代码，主要的功能是从远程服务器下载病毒主体文件Synaptics.exe，并将其设置成系统隐藏文件后执行。具体信息如下：
首先，会在系统临时目录创建随机文件，并将此XLSM资源段内的数据复制到该文件中：
然后，用临时目录的随机文件替换桌面上新建的Excel文件：
病毒感染后的效果如下：
主体Synaptics.exe病毒文件分析
该病毒为了隐蔽自身的恶意行为，其会在同目录下释放保存在资源段“EXERESX”的安装程序，然后运行。之后对EXE文件进行偷梁换柱的行为也是将EXE文件重新更新到这个资源段内，达到传播和伪装的目的。
查找资源段“EXERESX”数据：
在病毒同目录中创建一个“._cache_+Synaptics.exe”文件，用于存放该资源段内的可执行文件。(伪装的安装程序或者被感染的正常EXE文件)
然后，调用ShellExecute函数执行此文件。如下所示：
添加注册表自启动项目：
正常EXE文件替换分析
首先，会将病毒自身复制到临时目录中的随机文件中：
然后，为其创建一个图标文件并写入数据：
最后，将这个临时文件更换为原始文件，并删除临时文件：
整体的替换过程代码如下所示：
正常EXE文件感染替换后的效果如下：
网络请求功能分析
该病毒会创建线程进行网络请求和邮件发送等：
判断网络状态，从远程服务器下载文件到本地：
发送邮件相关代码如下：
如何防范此类安全风险
- 不要点击来源不明的邮件以及附件;
- 不要点击来源不明的邮件中包含的链接;
- 打全系统及应用程序补丁;
- 采用高强度的密码，避免使用弱口令密码，并定期更换密码;
- 尽量关闭不必要的文件共享。
亚信安全产品解决方案
亚信安全病毒码版本15.559.60，云病毒码版本15.559.71，全球码版本15.561.00已经可以检测，请用户及时升级病毒码版本。
IOC
银行木马Ginp使用屏幕覆盖攻击，窃取帐密和信用卡数据
警告！Windows 10重大更新通知也有假，竟夹带勒索病毒
APT33黑客组织再有新动作，利用僵尸网络锁定全球多个“敏感”目标 返回搜狐，查看更多