默认密码AbeOffice-ChangeMe，撕开木马三层加密

一个叫 Abe Office 的远程访问木马，把自己伪装成办公助手工具，还带着一张有效的代码签名证书。Rogue Authority 的研究人员把它那层薄弱的保护拆开，并在沙箱里观察了操作者的动作。

文件名为 AbeAgent.exe，自称“Abe Office workstation helper”。这个产品并不存在。文件通过 SSL.com 签名，署名是一个私人个体 Kimberley Hankinson，位于宾夕法尼亚州。证书于 2026 年 10 月 26 日生效，文件在 11 月 4 日完成签名。

签名只能说明是谁封存了文件、之后没人改动过，并不能证明文件安全。一张全新证书、以个人名义、立刻用来签一个“公司”产品，这是研究人员在签名恶意软件里反复见到的模式。该证书已被报告给 CA，并加入 CertGraveyard。

“Abe”这个名字，最可能指代 App-Bound Encryption，也就是这款恶意软件专门针对的 Chrome 功能。

首次运行时，程序把自己复制到用户配置文件目录并从那里重启。它会移除 Mark of the Web 标记，也就是 Windows 用来提示下载文件风险的那个隐藏标签。

随后它添加名为“Abe Office Sync”的 Run 注册表项和一个计划任务，两者都用 –autostart 开关启动它。它还尝试添加一条名为“Abe Office Agent”的防火墙规则。

三个加密插件被写入磁盘：一个主 RAT、一个运行隐藏桌面的组件、一个在浏览器内运行的小助手。加载之前，启动器会向服务器请求密钥，目的是让只拿到文件的人看不到这些插件。

按 Rogue Authority 公布的技术研究，这把锁没锁住。文件里含有一个默认密码 AbeOffice-ChangeMe，可以用它推算出每一个密钥。研究人员就这样解密了全部三个插件。实时服务器发来的密钥，与他们离线算出的那个一致。

同一个密码也保护着网络流量。AES 密钥只是该密码的哈希，因此整段被捕获的通信都能读出来。对防御方来说这是好消息：任何拿到样本的人都能拆开这套工具。

隐藏桌面插件会创建一个不可见的 Windows 桌面，并在上面启动浏览器。它先把受害者的 Chrome 和 Edge 配置文件复制到 C:\ProgramData\AbeOffice\SystemCache。在沙箱里它复制了 287 个配置文件。从这些副本打开的浏览器，已经处于登录邮箱、银行和购物网站的状态。

这让操作者无需密码、从受害者自己的电脑上就能以受害者身份行事，也更容易绕过“新设备”校验。这类隐藏桌面工具数量在增长，此前关于 Shadow hVNC 的报告同样涉及窃取 cookie 和复用实时会话。

在一次持续多日的沙箱运行中，操作者在大约一天半里连接了三次。他列出浏览器，在隐藏桌面上打开 Chrome 和 Edge，直奔已保存密码页面。沙箱里没有保存的密码，所以什么也没被拿走。

谷歌在 2024 年 7 月的 Chrome 127 中加入 App-Bound Encryption。一个拥有系统权限的 Windows 服务会在交出密钥前检查是哪个应用在请求。谷歌称，恶意软件现在需要系统权限或代码注入，而这些动作更吵闹。

Abe Office 走的是第二条路。它在屏幕外坐标 -32000,-32000 处启动浏览器，并注入自己的助手 DLL。助手向浏览器自身的提权服务请求解密密钥。因为请求来自真正的浏览器，服务便同意了。

密钥被保存到 C:\ProgramData\AbeOffice\abe_job\key.dat。代码里还留有备用路径，包括一个名为“Abe Crypto Bridge”的浏览器扩展。

其他窃密软件也用类似手法。SpyCloud 发现 Lumma、Vidar 等家族在上线后不久就宣称实现了绕过。Phemedrone 用了 Chrome 的远程调试端口。近期一份 Marsalek 恶意软件报告展示了同样的 DLL 注入思路。

命令服务器 2.26.230[.]54 同时托管着操作者的控制面板。Shodan 数据显示，它的 Windows 计算机名与驱动隐藏浏览器的那个一致。其 80 端口提供一个“Abe Update”页面，列出这套工具的文件。

第二台服务器 87.199.195[.]141 提供同样的页面。VirusTotal 将 133 个文件关联到这两台服务器，最早出现于 9 月中旬到 11 月初之间。

其中包括另外 10 个 AbeAgent.exe、61 个 launcher-bootstrap-stub.exe 和 49 个 app.zip 包。只有这个构建用了真实 CA 的证书，所以它可能是最新的一步。投递方式仍然未知。

如果运行过这个文件，请把浏览器会话视为已被窃取。在一台干净设备上退出所有会话，从邮箱开始修改关键账户密码，开启双因素认证，然后清理或重装这台电脑。

防御方应留意 AbeOffice 相关文件夹、“Abe Office Sync”这个 Run 值，以及任何带 –autostart 启动的进程；在 9090 端口上阻断到这两台服务器的出站流量。

还应标记以 –window-position=-32000,-32000 或本地远程调试启动的浏览器，以及读取 Login Data、Cookies 和 Local State 文件的非浏览器程序。来自受害者本机的登录，也不该默认被信任。