AVG 中國病毒實驗室持續監測到 Morphex 家族新變種大量樣本。Morphex 並非單一病毒，而是代碼保護/混淆框架（複雜變換、反調試、反虛擬機），內含字串「My name is Morphex」。2011 年早期曾登上病毒排行榜首，近期捲土重來。

技術特徵分析

1. 進程注入（Process Hollowing/RunPE 技術變體）：
   — 創建正常 svchost.exe 掛起進程。
   — 以 DONT_RESOLVE_DLL_REFERENCES 標誌載入空映像。
   — 獲取入口點地址，寫入惡意代碼，覆蓋入口點指令。
   — 恢復執行，svchost.exe 變為「傀儡進程」，記憶體中無獨立惡意進程/DLL，繞過進程列舉掃描。
2. 與 Duqu 組件極其相似：Duqu 同樣使用此技術注入 svchost.exe，顯示高階威脅行動者共享/借鑑技術。
3. 持久化：釋放隨機 5 字元檔名至 %UserProfile%\，註冊表 HKCU\Software\Microsoft\Windows\CurrentVersion\Run / HKLM\...\Run 新增 Taskman 值指向該檔案。
4. C&C 通訊：觀測到連接域名（非窮盡）：
   slade.safehousenumber.com
murik.portal-protection.net.ru
world.rickstudio.ru
banana.cocolands.su
portal.roomshowerbord.com
5. 功能：下載新惡意碼、發起 DDoS、發送垃圾郵件、竊取資料 → 受害主機成「肉雞」/僵屍網絡節點。

檢測與清除建議

• 檢查註冊表 Run 鍵值下是否存在 Taskman 指向 %UserProfile%\<隨機5字元>.exe。
• Process Explorer/Volatility 檢查 svchost.exe 異常：
  — 命令列無參數/路徑異常。
  — 父進程非 services.exe。
  — 記憶體區域權限異常（RWX）、模組不匹配。
• 網絡層面：封鎖上述 C&C 域名/IP，部署 DNS 沉底/威脅情報平台。
• 端點防護：更新 AVG/主流防毒至最新版（已加入該家族最新變種特徵），執行全盤掃描+記憶體掃描。
• 安全模式多次掃描、關閉系統還原防止復活。

Morphex 新變種「無華而不實行為，但潛在威脅極大、隱蔽性極強」。未安裝防毒用戶極高風險，請立即部署端點防護並排查上述 IOC。