惊心！歹毒！遭遇【VS编译时触发后门】保卫战（五）：大结局

原创

MicroPest
MicroPest

MicroPest

2026年10月9日 17:30
安徽

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

连续多日分析一个后门，好几年没干过这种事了。起因是一个源代码编译时发现了后门投毒，且在本机执行，杀软事后扫描目录居然没有报毒，这引起了我的关注和兴趣。

前面的分析，过于专业。这里复盘提炼出木马一些特点，读来还蛮有趣，以飨读者。

1、供应链投毒、体系化作战。

纵观，它不是零散动作，而是一条标准的「下载→落地→解压→执行」加载器（loader）供应链投毒。它不依赖用户做任何额外操作——只要有人：

• 用 Visual Studio 打开并点「生成」，或
• 命令行跑 msbuild / devenv /build，

后门就会在编译进程内静默运行。这正是「布好陷阱、等人上钩」的定向投毒形态。

2、专门针对程序员特定群体，钓鱼。

实现手法是典型的「后门/投毒」特征，而非工程配置，伪装强。

• 藏在 .vcxproj 的 InitialTargets + CodeTaskFactory 里——这是供应链投毒的经典手法（利用 MSBuild 在构建进程内执行任意代码），而非任何正常工程会用到的配置；
• 载荷经 Base64 + 三轮 XOR + GZip 层层混淆，并调用 VirtualAlloc/VirtualProtect/CreateThread 在内存中直接执行，刻意规避静态查杀；
• shellcode 自身无导入表，靠 PEB 遍历 + 哈希 动态解析 API，且用伪装 Chrome UA、伪装成 7-Zip / 系统 Feeds 目录——这些都是恶意软件的规避与伪装技术，正常构建脚本绝无必要。

3、设计/开发 手段翻新化。

不同于传统的C/C++/Go/Rust等编程语言，采用了electron设计，就是把 Chromium + Node.js 运行时整体打包进应用自身。

目标机上装没装 Node、装的是哪个版本，都无所谓。内嵌一个 JavaScript 引擎（V8）+ Node.js ，通过 V8 引擎读取 resources/app.asar执行 main.js，Node 把 C++ DLL 载入本进程，JS 调 C++ 函数GDI+ (GdipCreateBitmapFromHBITMAP)``真正抓取屏幕像素，编码成 PNG 返回 JS，Node 内置 http/net 模块``exe 内的网络代码调用 WS2_32/WINHTTP 真正发包 → 外传。

exe 里的 JS 引擎执行 asar 中的 JS，JS 再驱动 Node 与 .node 完成实际操作。V8 执行 JS，JS 调 Node API 或 .node 里的 C++，C++ 直接调 Windows API。全部在 SearchFilter.exe 这一个进程内完成。

4、Telegram Bot 为 C2 外传通道，隐蔽难破解。

Telegram Bot 的特性：

免注册、免服务器：攻击者不用自己搭 C2 服务器，Telegram 免费提供；

加密且合法：走 Telegram 官方 HTTPS，流量看起来正常；

易用：手机上装个 Telegram 就能实时收到窃取的数据；

难溯源：Telegram 匿名注册，且 bot 可随时换 token。

且至少准备了两个回传通道，即使其中一个被清理，另一个仍可工作。受害机上运行的恶意程序用它\"主动外联\"到 Telegram 服务器——这样恶意流量混在正常的 HTTPS 里，不依赖固定 IP/域名，隐蔽性强、难封堵。

5、【API定位+错误重试-退避机制】保障隐蔽性。

PEB 遍历找 kernelbase/kernel32（全部 API 靠 PEB） + 哈希解析，按哈希在 PE 导出表里找函数地址；用 伪装 UA 发起 HTTP；支持 错误重试 + 退避（Sleep 200ms）；读到的数据在内存缓冲，随后落地。

6、杀软有特点。

mbam.ps1系配套的反制工具（清除杀软），定向卸载 Malwarebytes，主要利用了mbuns这个工具，旨在在标准卸载流程失败或卡住时，手动强制移除 Malwarebytes 软件。

7、在植入一个后门的同时，又植入“窃取虚拟货币”的后门，又是针对程序员群体的“杀人诛心”。

用Token发，用Chat ID收，全程匿名数据回传。

综上所述，该后门配得上“歹毒”评价，整个体系庞杂，设计精巧，绕过杀软/绕过本机EDR，通信加密等多个组合。

不足之处：我在逆向shellcode时，虽然也用了xor来保护代码，但可能由于动态定位的“难度且复杂度”因素，shellcode中并没有使用“大循环”、反调试等保护性手段，可能是后门作者“偷懒了”“没必要”。

附：

《[惊心！歹毒！遭遇【VS编译时触发后门】保卫战（一）---后门分析](https://mp.weixin.qq.com/s?__biz=MjM5NDcxMDQzNA==&mid=2247491059&idx=1&sn=75ce7042917862facd2fdfcec8248bac&scene=21#wechat_redirect)》

《[惊心！歹毒！遭遇【VS编译时触发后门】保卫战（二）---两个exe分析](https://mp.weixin.qq.com/s?__biz=MjM5NDcxMDQzNA==&mid=2247491074&idx=1&sn=eace0b13f43f6117c5364703e2d72989&scene=21#wechat_redirect)》

《[惊心！歹毒！遭遇【VS编译时触发后门】保卫战（三）---逆向shellcode.bin](https://mp.weixin.qq.com/s?__biz=MjM5NDcxMDQzNA==&mid=2247491086&idx=1&sn=2c4364d706d3e41dabab8a6620831c2a&scene=21#wechat_redirect)》

《[惊心！歹毒！遭遇【VS编译时触发后门】保卫战（四）---窃取虚拟货币后门分析](https://mp.weixin.qq.com/s?__biz=MjM5NDcxMDQzNA==&mid=2247491097&idx=1&sn=15071325ee7e72e7cb9ce459511cb255&scene=21#wechat_redirect)》