研究人员近日发现 IceXLoader 的最新 3.0 版本是使用 Nim 语言开发的 这种语言在过去两年中被攻击者尝
试应用在攻击中，最著名的是 TrickBot 开发的 NimzaLoader 恶意软件。

ICE_X

研究人员发现了一个带有字符串 ICE_X和 v3.0的恶意软件，并且由 Nim 语言开发。发现的样本并未完全实现
所有功能，例如互斥锁目前只有虚拟代码，可能是正在开发的新版本。

研究人员在地下论坛进行了深入分析，发现该恶意软件在论坛中以 ICE X的名义进行售卖，终身许可118美元。



攻击者对外销售多种恶意软件，并且提供各种攻击相关的服务。开发者声称他们的四人团队已
经拥有十四年的相关服务经验，稳定客户超过两百个。



研究人员将该恶意软件家族命名为 IceXLoader，避免与原有的 IceX 木马产生混淆。

新版本

开发者提供了配置恶意软件的演示视频，可以看到经典模型的 C&C URL：icex/Script.php。



视频里演示了使用 IceXLoader 的 1.0 版本连接 C&C 服务器：



根据 URL 特征，可以找到使用 AutoIT 语言开发的 1.0 版本恶意软件。两个版本的功能几乎相同
3.0版本的 IceXLoader 主要是 Nim 实现的升级版。



开发人员声称其恶意软件为 FUD（完全不能检测）这表明其可以绕过安全检测。开发者还表明
恶意软件也会随着安全产品不断更新对抗检测。
这可能也是攻击者利用 Nim 开发恶意软件的原因，攻击者利用安全产品在这一
语言领域尚且没有检测优势。

技术细节

持久化

IceXLoader 使用可配置的文件名将自身复制到 %AppData%\Microsoft\Windows\Start
Menu\Programs\Startup\，以实现重启后的持久化存在。
与此同时，IceXLoader 在 Software\Microsoft\Windows\CurrentVersion\Run中添加了一个注册表项
其值为在 %AppData% 中留存的第二个副本。
由于 3.0 版本的恶意软件尚未完整实现互斥锁，Windows 重启启动后会运行多个 IceXLoader实例。

检测逃避

IceXLoader 对 AMSI.DLL 中的 AmsiScanBuffer进行内存修补，以此绕过 Windows
反恶意软件扫描接口的检测。

将一些禁用 Windows Defender 实时扫描的 PowerShell 命令写入 %TEMP%\file.bat 并执行
还阻止 Windows Defender 扫描 IceXLoader 所在的目录。




C&C
IceXLoader 通过 HTTP/HTTPS POST 请求与硬编码的 C&C 服务器进行通信。User-Agent 会被配置
为失陷主机的GUID，并且 C&C通信是明文的，没有经过编码或者加密。



IceXLoader 通过发送 SetOn=On的初始 POST 请求开始通信，C&C 服务器通常会响应 info命
令进行登记注册。通过 Done=info<|>确认命令后，执行命令。

IceXLoader 会收集以下信息：
硬编码昵称，默认为 ICE X
用户名、机器名称以及是否有管理员权限
Windows 版本
安装的安全产品
.NET 框架版本
Loader 版本
内存总量
处理器名称
显卡名称

收集的信息如下所示：



命令

IceXLoader 支持的命令如下所示：

close：停止执行
info：收集系统信息并回传
msg：显示指定消息的对话框
restart：重启恶意软件
runFile：下载到本地、下载到内存执行文件
Sleep：设定睡眠间隔时间
Update：更新恶意软件
uninstall：清除恶意软件

感染链

IceXLoader 旧版本分发 DcRat，而新版本进行门罗币挖矿。




结论

攻击者正在将代码移植到不常见的语言中，逃避安全产品的检测。随着安全研究的深入攻击
者也在不断进行技术更新。