种子是个神奇的东西，对于常年混迹于网上观影界的“老司机”来说，通过下载BT种子，抢先观看热映电影，早已称得上是轻车熟路的常规操作。但就是因为BT种子极高的受欢迎程度，其也成为了黑客在传播木马病毒时的最佳首选载体。
近期，360安全大脑捕获到一种新型木马，其通过伪装成影视资源BT种子文件，散布在种子下载站。在诱骗用户下载执行后，盗取账号密码、静默挖矿、远程控制用户电脑等一系列操作将“如期上演”。因为整个“破坏流程”全部被伪装成真正BT种子的下载过程，所以用户根本无法轻易察觉。面对这一波神不知鬼不觉的 “无声投毒”，360安全大脑第一时间对该病毒进行了全面查杀，及时保证了用户的隐私和财产安全。
木马“喜蹭热度”诱导下载，
老司机在线翻车在所难免
想问抢先观看一部热映电影是种什么体验，相信没有人能比BT种子界的“老司机”的感受更加真切，点开了BT资源搜寻站就仿佛就踏进了私人电影院。而本次360安全大脑捕获的新型木马，就热衷于伪装为热门影视资源的BT种子文件，在和其他正常文件打包在一个压缩包后，散布在各类国内外BT资源搜索站点，通过“蹭取热度”来引诱用户的下载点击。面对如此操作，老司机们上演“在线翻车”也在所难免。
上图为木马伪装过的热门影视资源
经深度分析得知，恶意的BT种子文件实为一个可执行VBS脚本文件，木马在文件名后部添加.torrent后缀，掩人耳目伪装成BT种子。VBS脚本一旦启动会释放出AutoIt3脚本和加密的可执行文件，使用AutoIt3脚本解密并执行加密的可执行文件，随后便执行所有恶意行为。
木马执行时会启动傀儡进程notepad.exe并注入其中。注入的代码将AutoIt3脚本复制到C:\ProgramData\Intel\Wireless\ 目录下，并加入开机启动项。随后便大肆收集电脑中各类账号密码、静默挖矿启动远控功能。
可怕的是，因为在静默执行各种恶意行为的同时，木马始终通过下载真正BT种子文件掩人耳目；所以，对大多数用户而言，整个过程和正常BT下载无任何差别，很难觉察到任何异常。当观影迷们还聚精会神的在关注进度条时，受害电脑早已沦为任人宰割的“肉鸡”。
木马的伪装行为
监控键盘、窃取账号、远程控制、盗取数字钱包、疯狂挖矿轮番轰炸，
黑客全面接手中招电脑为所欲为
对于老司机来说，日常下载翻车，最多使用关机重启等万能修复操作，便又可以重新下载。但当用户不幸中招该木马后，黑客将全面接手入侵电脑，通过该木马不仅可以盗取用户账号密码、占用电脑资源挖矿，还可远程控制用户电脑，长期危害用户隐私和财产安全，360安全大脑总结了以下5点危害：
1.通过监控键盘，用户聊天记录、邮件内容、客户端密码将被一览无余，轻则造成用户的个人信息泄露，重则造成商业机密、财产信息等数据泄露。
2.密码及浏览器保存的Cookie信息是访问用户网络帐户、数据的重要凭据。黑客通过木马获取的密码、Cookie、FTP配置文件中的服务器IP及密码，可以访问和控制用户各个网络帐户、服务器等，会造成无法估量的损失。
3.黑客还同时可以通过木马的远控模块随时控制用户电脑，通过初步信息筛选，可以选择性攻击更有价值的用户，后果不寒而栗。
4.用户的数字钱包也将因此面临泄露危险，一旦数字货币钱包泄露，黑客随时可以转走钱包里的数字货币，并且无法追回。
5.被植入挖矿模块的电脑，会因挖矿占用大量资源，造成电脑变卡，影响正常电脑使用，并造成高额电费和硬件的加速老化。
面对BT种子木马的强劲攻势，看来老司机们在使用BT种子下载电影时，还需多加留意暗藏的杀机。不过广大用户无需担心，目前360安全大脑通过多种技术手段防御和发现最新木马病毒，且已率先实现对该类木马的查杀，为避免此类攻击的感染态势进一步扩大，对于办公及家庭电脑，360安全大脑建议：
1.前往weishi.360.cn下载安装360安全卫士，可拦截各类病毒木马保护电脑安全；如果怀疑已经中招，可以进行全面体检。另外，定期对系统体检能够及时发现系统异常。
2.开启文件后缀名显示可以降低文件名伪装风险，资源管理器->文件->文件夹和搜索选项->查看，取消勾选“隐藏已知文件类型的扩展名”。
3.保持良好的上网习惯，对来源不明信息说不，不打开，不查看，不转发，营造良好的互联网环境人人有责。
IOCs
MD5:
ae267337a1ad5dc1f834e6f85f4eaf7e
2aaadc7b79f6fd8da353de6ca4a11347
44e62271282f38c4c6b638f299b824dc
CC地址:
http[:]//0.le4net00.net
http[:]//deploy.static.blazingtechnologies.io
