火绒威胁情报系统监测到一款名为“DcRat”的后门病毒新变种，正通过伪装成正常文件名的方式在微信群中大肆传播。经分析发现，该病毒入侵电脑后，存在收集用户隐私信息、远控用户电脑等危害。这是继“Xidu”病毒后又一款通过伪装来诱导用户，并通过即时通讯软件传播的病毒，用户一不小心就会中招，短期内火绒已拦截数千台受影响终端，还请广大用户保持警惕。

　　该黑客团伙将病毒伪装成的各类文件（文档、图片、视频等）发送给微信群聊中的用户，并诱导用户打开，随后实施收集信息等恶意行为。

　　病毒伪装所使用的文件名列表，如下图所示：

　　火绒安全实验室分析发现，该病毒运行后，会窃取用户电脑中文件，并收集用户信息如用户名、操作系统版本，记录键盘、麦克风和摄像头数据。除此之外还可远程控制受害者终端执行任意操作。

　　为了长久驻留用户电脑中，该病毒还会添加注册表和计划任务来进行持久化。同时与安全软件做对抗，如通过加载执行远程恶意模块对抗安全软件查杀、结束安全软件进程等，行为十分恶劣。

　　在此，火绒工程师提醒大家时刻注意群聊中发送的陌生文件，建议先查杀再使用。目前，火绒安全产品可对上述病毒进行拦截查杀。已中毒的用户，可使用火绒【全盘扫描】彻底查杀该病毒。

　　一、样本分析

　　病毒执行流程，如下图所示：

　　该病毒启动后，会从C&C服务器下载执行shellcode，相关代码，如下图所示：

　　在shellcode中会内存加载.NET后门模块来躲避杀毒软件的查杀，相关代码，如下图所示：

　　该.NET后门模块为开源远控DcRat，该远控具备各种恶意功能如：键盘记录、文件窃取、远程控制、录音录像等恶意功能，大部分恶意功能都是以插件的形式下发执行。远控客户端收集受害者信息如：用户名、操作系统版本、是否存在摄像头、是否存在杀毒软件等信息（个别变种还会收集QQ号）并发送给C&C服务器，相关代码，如下图所示：

　　还会结束安全工具和安全软件进程，防止自身暴露，相关代码，如下图所示：

　　还会检测虚拟机环境，相关代码，如下图所示：

　　还会添加注册表和计划任务来进行持久化，相关代码，如下图所示：

　　键盘记录、文件窃取、远程控制、录音录像等恶意功能都是以插件的形式下发执行，相关代码，如下图所示：

　　二、附录

　　火绒安全，火绒，火绒安全软件，火绒官网，火绒杀毒软件怎么样，

　　火绒企业版怎么收费，火绒企业管理员密码，火绒企业版监控员工电脑，

　　火绒企业版收费标准，火绒企业版价格，火绒企业版与个人版有何不同，

　　火绒企业版卸载要密码，火绒，火绒安全、EDR V1.0， ，火绒安全防护

　　服务区域：

　　云南火绒，昆明火绒 ，贵州火绒，四川火绒，重庆火绒 ，西藏火绒，拉萨火绒，

　　产品：火绒安全卫士（专业版）软件 ，火绒终端安全管理系统v2.0，火绒安全终端安全管理系统2.0版，火绒终端安全管理系统V1.0,火绒终端安全管理系统，火绒windows PC 版（10用户起订），火绒安全 终端管理系统Windows V2.0,火绒终端企业版Linux版，火绒终端企业版macOS版。火绒企业版收费标准，火绒企业版， 火绒企业版监控员工电脑，火绒企业版和个人版区别， 火绒企业版价格，火绒企业版多少钱，火绒企业版多少钱一年，火绒信息安全软件 linux PC V2.0终端安全管理系统网络版，huorong endpoint security management system2.0

　　火绒终端防病毒系统，火绒安全火绒终端安全管理系统V2.0 Windows杀毒软件 ，火绒终端安全管理系统（ Linux版），火绒安全终端安全管理系统V2.0Linux版，信息安全软件火绒windows PC 三年续费版(10用户起订），火绒安全 终端安全管理系统V2.0Linux版 安全软件，火绒专杀工具（企业版），火绒安全火绒终端安全管理系统2.0（旗舰版），火绒企业网络版杀毒软件升级，火绒企业网络版杀毒软件升级,火绒杀毒企业版多少钱

　　功能：实现终端安全系统的集中管理、策略配置、报表查看等功能。50个Windows客户端全功能版授权许可,

　　病毒防御：病毒查杀，防病毒终端软件:网络版杀毒软件，服务器杀毒软件，Linux服务器杀毒软件，防病毒软件EDR、杀毒软件（反病毒引擎、多层次主动防御系统、病毒防御、系统防御、网络防御、设备控制等，网络版杀毒软件 1套，终端安全控制系统，EDR终端安全管理，外网电脑杀毒软件，勒索病毒诱捕，文件实时监控，恶意行为监控，U盘保护，下载保护，邮件监控，web扫描。反病毒引擎供应商。定时全网扫描，

　　漏洞管理：（漏洞修复）补丁分发，补丁修复，漏洞攻击拦截、攻击溯源，支持漏洞集中修复，补丁文件管理，按终端修复，下发漏洞修复。横向渗透防护，

　　移动存储管理功能：安全U盘，U盘管控，U盘注册、U盘信任，USB无线网卡、USB有限网卡、打印机、光驱、蓝牙设备、便携设备等

　　品类：终端安全：终端安全防护，终端安全软件，企业级杀毒，终端安全防护软件授权，网络终端安全管理项目，终端设备防护，终端安全管理设备，终端安全专项保障，终端安全管理平台，终端安全管理系统，终端安全管理平台升级及维保项目，终端安全运营平台，终端安全管理系统升级，终端安全防护，终端安全防护扩容服务，终端安全管理平台，终端安全管理系统，端点保护市场,edr运营体系， 终端防户能力，全网管控，电脑终端防护需终端安全管理windows版求。xdr,edr，信息安全软件火绒windows PC 版（10用户起订），火绒安全 终端管理系统Windows V2.0，