搜索

[28251] 2020-04-11_新冠病毒远程木马实例分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-04-11_新冠病毒远程木马实例分析 新 冠 病 毒 远 程 木 马 实 例 分 析 安 全 牛   O t s 安 全   2 0 2 0 - 0 4 - 1 1 安 全 牛 评 安 全 牛 评 根 据 C h e c k P o i n t 的 最 新 报 告 ， 过 去 三 周 全 球 新 域 名 注 册 数 量 同 比 增 长 十 倍 ， 其 中 与 新 冠 病 毒 有 关 的 新 增 注 册 域 名 中 ， 有 超 过 5 0 % 都 与 恶 意 软 件 活 动 有 关 ， 新 冠 病 毒 相 关 网 络 钓 鱼 和 恶 意 软 件 传 播 活 动 ， 正 在 全 球 疯 狂 肆 虐 ， 而 国 内 企 业 和 个 人 对 此 缺 乏 足 够 的 关 注 和 警 觉 ， 这 是 非 常 危 险 的 。 近 日 聚 铭 网 络 安 全 捕 获 了 一 个 通 过 新 冠 病 毒 主 题 钓 鱼 电 子 邮 件 传 播 的 木 程 序 马 ， 以 下 是 分 析 报 告 原 文 ： 自 进 入 2 0 2 0 年 以 来 ， 全 国 乃 至 世 界 各 个 国 家 和 地 区 都 笼 罩 在 新 型 冠 状 病 毒 的 阴 影 之 下 ， 令 人 感 到 恐 惧 和 彷 徨 ； 固 然 ， 新 冠 病 毒 是 现 实 世 界 中 的 活 着 的 病 毒 ， 但 在 虚 拟 的 网 络 世 界 中 也 有 如 新 冠 病 毒 一 样 的 具 有 高 危 险 性 的 恶 意 代 码 ， 特 别 是 近 期 在 网 络 上 存 在 非 常 多 的 、 别 有 用 心 的 组 织 或 人 员 ， 充 分 利 用 此 次 全 球 性 的 重 大 公 共 卫 生 事 件 ， 使 用 多 种 手 段 特 别 是 “ 社 工 ” 方 法 对 相 关 目 标 发 起 攻 击 ， 造 成 计 算 机 系 统 的 大 面 积 感 染 或 者 信 息 泄 露 ， 从 而 牟 取 政 治 和 经 济 利 益 ， 以 及 其 它 不 可 告 人 的 目 的 。 以 下 是 从 实 际 产 品 中 捕 获 的 一 个 利 用 新 冠 病 毒 通 过 邮 件 钓 鱼 获 取 的 恶 意 软 件 样 本 ， 据 说 它 来 自 于 一 个 非 常 高 级 的 A P T 组 织 ， 样 本 首 次 捕 获 时 间 是 2 0 2 0 年 3 月 1 7 日 ， 以 下 是 相 关 情 况 。 首 先 它 会 生 成 一 个 伪 造 的 P D F 文 件 （ 看 上 去 和 正 常 的 P D F 文 档 无 甚 区 别 ） ， 但 实 际 上 是 一 个 W i n d o w s 的 链 接 文 件 ， 如 下 图 所 示 （ 包 括 相 关 文 档 的 摘 要 信 息 ）   ：
图 1   链 接 文 件 相 关 信 息 打 开 文 件 后 ， 可 以 看 到 经 过 编 码 后 的 负 载 信 息 ： 图 2   l n k 文 件 内 容 经 过 解 码 后 ， 可 以 看 到 文 中 中 包 含 了 如 下 内 容 ： 图 3   l n k 文 件 解 码 内 容 （ 进 行 了 一 定 的 混 淆 ） 从 中 可 以 看 到 攻 击 者 会 拷 贝 自 身 证 书 工 具 （ e r t u . e x e ） 以 替 换 系 统 工 具 ， 便 于 躲 避 沙 箱 等 工 具 对 于 文 件 签 名 的 检 查 （ 许 多 沙 箱 工 具 会 验 证 文 件 签 名 的 合 法 性 ） 。 其 次 ， 它 会 释 放 一 个 C A B 文 件 ， 包 含 如 下 内 容 ： · 2 0 2 0 0 3 0 8 - s i t r e p - 4 8 - c o v i d - 1 9 . p d f . · 3 U D B U T N Y 7 Y s t R c . t m p . · P E 3 2   E x e c u t a b l e   f i l e   ( D L L )   4 8 6 A U L M s O P m f 6 W . t m p . · P E 3 2   E x e c u t a b l e   ( G U I )   9 s O X N 6 L t f 0 a f e 7 . j s . · J a v a s c r i p t   f i l e   ( c a l l e d   b y   . l n k )   c S i 1 r 0 u y w D N v D u . t m p . · X S L   S t y l e S h e e t   D o c u m e n t   M i Z l 5 x s D R y l f 0 W . t m p . 其 中 ， 9 s O X N 6 L t f 0 a f e 7 . j s 文 件 会 执 行 W S c r i p t . S h e l l 用 于 运 行 W i n d o w s 命 令 ； 这 个 文 件 经 过 反 混 淆 处 理 后 的 指 令 内 容 如 下 ：
图 4   反 混 淆 后 的 指 令 然 后 ， 它 会 打 开 一 个 E x c e l 文 件 （ 其 中 包 含 了 V B S c r i p t , 可 以 通 过 c s c r i p t 执 行 ） ； 其 加 密 方 式 就 是 简 单 的 异 或 算 法 。 图 5   V B S c r i p t 脚 本 内 容 （ 加 密 混 淆 ） 经 过 一 定 的 方 式 计 算 后 可 得 到 其 解 密 的 逻 辑 （ 红 色 部 分 是 其 异 或 的 值 ， 就 是 0 ） ：
图 6   解 密 循 环 逻 辑 解 密 后 的 脚 本 大 致 如 下 ： 图 7   解 密 后 的 脚 本 此 恶 意 软 件 通 过 一 系 列 变 化 和 执 行 ， 可 以 看 出 它 实 际 上 是 一 个 全 功 能 的 远 程 控 制 木 马 ， 包 括 文 件 上 传 / 下 载 / 修 改 、 键 盘 记 录 、 摄 像 头 控 制 以 及 远 程 执 行 c m d . e x e 等 。 通 过 分 析 这 个 恶 意 软 件 （ 实 际 上 是 一 个 远 控 木 马 ， 即 R A T ） ， 在 这 里 需 要 特 别 郑 重 地 提 醒 各 位 计 算 机 用 户 ， 不 要 因 为 好 奇 心 或 者 其 它 原 因 查 看 、 点 击 来 历 不 明 的 文 件 ， 从 而 被 黑 客 所 控 制 ， 导 致 不 必 要 的 风 险 或 者 数 据 的 泄 露 、 损 失 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理