搜索

[9968] 2016-03-31_“狡猾”的USB木马被发现：威胁物理隔离的系统

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-03-31_“狡猾”的USB木马被发现：威胁物理隔离的系统 “ 狡 猾 ” 的 U S B 木 马 被 发 现 ： 威 胁 物 理 隔 离 的 系 统 寰 者   F r e e B u f   2 0 1 6 - 0 3 - 3 1 据 悉 ， 目 前 发 现 一 类 难 以 检 测 分 析 的 据 悉 ， 目 前 发 现 一 类 难 以 检 测 分 析 的 U S B 木 马 ， 安 全 厂 商 木 马 ， 安 全 厂 商 E S E T 安 全 研 究 人 员 初 步 研 究 发 现 该 木 马 主 要 对 物 理 隔 离 的 系 统 进 行 感 染 传 播 ， 是 一 款 网 络 及 工 业 间 谍 活 动 中 的 安 全 研 究 人 员 初 步 研 究 发 现 该 木 马 主 要 对 物 理 隔 离 的 系 统 进 行 感 染 传 播 ， 是 一 款 网 络 及 工 业 间 谍 活 动 中 的 “ 理 想 理 想 ” 木 马 。 木 马 。 其 被 称 为 “ U S B 窃 取 者 ” 木 马 （ 该 木 马 目 前 于 杀 软 的 检 测 名 称 为 W i n 3 2 / P S W . S t e a l e r . N A I   t r o j a n ） ， 而 该 木 马 是 当 前 已 发 现 的 木 马 中 复 杂 度 较 高 的 木 马 。 它 可 通 过 加 密 及 自 保 护 程 序 ， 来 逃 脱 检 测 和 逆 向 分 析 ， 并 在 成 功 窃 取 数 据 之 后 ， 不 会 留 下 任 何 窃 取 痕 迹 ， 使 得 受 害 者 及 安 全 研 究 人 员 难 以 进 行 溯 源 。 “ U S B 窃 取 者 窃 取 者 ” 木 马 的 自 我 保 护 机 制 木 马 的 自 我 保 护 机 制 根 据 E S E T 安 全 研 究 人 员 T o m á š   G a r d o ň   的 分 析 ， 实 际 上 ， 该 木 马 是 由 4 个 执 行 文 件 和 2 个 配 置 文 件 构 成 ， 并 且 可 绑 定 到 特 定 的 U S B 设 备 上 ， 如 果 该 木 马 实 例 被 复 制 到 其 他 U S B 设 备 或 者 其 他 存 储 设 备 上 ， 对 于 恶 意 文 件 的 执 行 将 中 断 ， 其 内 容 也 将 无 法 识 别 。 那 么 ， 我 们 目 前 可 以 了 解 的 自 我 保 护 机 制 主 要 有 以 下 两 种 ， 1 、 各 个 文 件 使 用 A E S 1 2 8 不 对 称 加 密 算 法 进 行 加 密 A E S 的 加 密 密 钥 是 由 具 备 唯 一 性 的 U S B 驱 动 I D 及 U S B 驱 动 磁 盘 性 能 计 算 而 来 。 因 此 ， 恶 意 程 序 也 仅 能 在 特 定 的 U 盘 上 才 能 运 行 。 2 、 其 各 个 文 件 名 称 亦 是 基 于 加 密 算 法 生 成 在 木 马 运 行 的 文 件 链 中 ， 其 文 件 的 名 称 是 基 于 文 件 内 容 以 及 文 件 创 建 的 时 间 ， 通 过 S H A 5 1 2 哈 希 算 法 得 到 的 哈 希 值 ， 最 后 再 选 取 哈 希 值 中 的 前 五 个 字 节 而 生 成 的 。 由 于 上 述 的 原 因 ， 每 一 个 木 马 实 例 中 的 文 件 名 均 不 同 ， 而 且 复 制 木 马 到 不 同 位 置 ， 也 将 会 导 致 文 件 创 建 时 间 的 更 改 ， 所 以 木 马 的 具 体 行 为 轨 迹 难 以 被 复 制 刻 画 。 这 对 于 进 行 该 木 马 的 剖 析 工 作 来 说 ， 无 疑 增 加 了 很 多 难 度 ， 因 为 并 没 有 有 效 的 方 法 去 逆 向 该 木 马 。 目 前 只 能 针 对 获 取 到 加 密 样 本 文 件 进 行 分 析 ， 并 通 过 暴 力 破 解 ， 获 取 到 了 U S B 驱 动 I D 信 息 及 磁 盘 性 能 。 而 且 在 成 功 解 密 样 本 文 件 之 后 ， 也 有 了 一 些 发 现 。 “ U S B 窃 取 者 窃 取 者 ” 木 马 的 执 行 流 程 木 马 的 执 行 流 程 而 经 过 此 前 的 分 析 ， 也 发 现 了 其 中 的 执 行 文 件 和 配 置 文 件 真 正 的 执 行 顺 序 。 该 木 马 的 执 行 流 程 实 际 上 比 较 简 单 。 每 一 级 加 载 程 序 ， 会 根 据 上 述 阐 述 的 命 名 技 术 算 法 计 算 出 来 的 哈 希 值 ， 再 以 该 哈 希 值 定 位 执 行 下 一 级 的 加 载 程 序 。 但 整 个 执 行 必 须 依 赖 于 第 一 级 加 载 程 序 ， 否 则 恶 意 程 序 将 终 止 运 行 。 具 体 流 程 如 下 图 ， 第 一 级 加 载 程 序 第 一 级 加 载 程 序 第 一 级 加 载 程 序 为 整 个 木 马 的 起 点 ， 其 主 要 目 的 为 促 使 受 害 者 运 行 它 。 其 中 的 方 式 也 因 攻 击 者 设 计 的 攻 击 路 径 不 同 而 存 在 差 异 。 例 如 可 以 通 过 伪 装 成 U 盘 中 的 便 携 软 件 （ 也 类 似 于 绿 色 软 件 ） 的 插 件 ， 利 用 便 携 软 件 的 运 行 ， 从 而 执 行 第 一 级 加 载 程 序 。 于 此 同 时 ， 该 加 载 程 序 也 承 担 着 检 测 木 马 是 否 从 U 盘 中 执 行 以 及 是 否 存 在 写 的 操 作 （ 因 为 p a y l o a d 会 将 窃 取 的 数 据 存 在 在 这 里 ） 。 第 二 级 加 载 程 序 第 二 级 加 载 程 序
第 二 级 加 载 程 序 通 过 第 一 阶 段 的 哈 希 值 触 发 。 随 后 ， 通 过 计 算 自 身 的 哈 希 值 ， 得 出 第 一 个 配 置 文 件 （ 如 上 图 ） 。 其 中 配 置 文 件 包 含 了 需 验 证 的 父 进 程 的 加 密 名 称 。 而 实 际 上 这 是 一 个 反 调 试 机 制 ， 如 果 在 不 同 的 父 进 程 中 运 行 ， 则 会 导 致 木 马 运 行 的 终 止 。 最 后 ， 第 一 个 配 置 文 件 的 哈 希 值 被 用 来 计 算 第 三 级 加 载 程 序 的 名 称 。 第 三 级 加 载 程 序 第 三 级 加 载 程 序 第 三 级 加 载 器 会 执 行 防 病 毒 检 测 ， 根 据 目 前 的 检 测 发 现 ， 如 果 其 检 测 到 环 境 中 有 运 行 “ a v p u i . e x e ” （ 卡 巴 斯 基 杀 软 进 程 ） 或 “ A V K T r a y . e x e ” （ 德 国 歌 德 塔 杀 软 进 程 ） ， 执 行 将 会 被 终 止 。 P a y l o a d 最 后 ， 由 p a y l o a d 来 完 成 数 据 窃 取 。 该 p a y l o a d 会 被 注 入 到 一 个 新 创 建 的 名 为 “ % w i n d i r % s y s t e m 3 2 s v c h o s t . e x e   - k   n e t s v c s ”   的 进 程 中 ， 而 在 第 二 个 配 置 文 件 中 ， 包 含 了 需 收 集 何 种 数 据 ， 如 何 对 数 据 进 行 加 密 以 及 数 据 存 放 位 置 （ 保 证 输 出 的 目 标 地 址 在 相 同 的 U S B 设 备 上 ） 等 信 息 。 在 一 个 分 析 的 案 例 中 ， 该 木 马 中 的 p a y l o a d 被 配 置 于 窃 取 包 括 像 图 像 或 文 档 ， 整 个 w i n d o w s 注 册 表 ( H K C U ) 信 息 ， 当 前 所 有 驱 动 的 文 件 列 表 等 数 据 ， 并 且 用 到 了 一 个 开 源 的 应 用 程 序 （ 名 为 W i n A u d i t ） 进 行 信 息 收 集 。 最 后 ， 通 过 E C C 椭 圆 加 密 算 法 来 加 密 窃 取 数 据 ， 并 将 数 据 存 储 到 指 定 位 置 。 “ U S B 窃 取 者 窃 取 者 ” 木 马 的 威 胁 木 马 的 威 胁 针 对 该 木 马 的 特 性 ， 其 作 用 的 场 景 其 实 不 仅 仅 只 是 包 含 上 述 提 到 的 将 U 盘 插 入 到 电 脑 中 ， 实 现 恶 意 感 染 这 一 场 景 。 G a r d o ň 提 到 ， U S B 窃 取 者 同 样 能 将 自 身 打 包 成 常 用 的 便 携 软 件 如 F i r e f o x ,   C h r o m e , T r u e C r y p t 及 N o t e p a d + + 等 软 件 的 插 件 或 扩 展 文 件 。 攻 击 者 再 通 过 各 种 潜 在 的 攻 击 路 径 ， 将 该 木 马 发 送 到 受 害 者 的 攻 击 者 再 通 过 各 种 潜 在 的 攻 击 路 径 ， 将 该 木 马 发 送 到 受 害 者 的 U 盘 上 ， 并 将 之 作 为 盘 上 ， 并 将 之 作 为 U 盘 中 的 便 携 软 件 的 插 件 伪 装 起 来 ， 通 过 受 害 者 将 木 马 转 移 到 一 个 物 理 隔 离 的 系 统 ， 并 在 使 用 便 携 软 件 时 盘 中 的 便 携 软 件 的 插 件 伪 装 起 来 ， 通 过 受 害 者 将 木 马 转 移 到 一 个 物 理 隔 离 的 系 统 ， 并 在 使 用 便 携 软 件 时 运 行 木 马 ， 这 对 于 物 理 隔 离 的 系 统 来 说 具 备 较 大 的 威 胁 。 运 行 木 马 ， 这 对 于 物 理 隔 离 的 系 统 来 说 具 备 较 大 的 威 胁 。 根 据 E S E T 安 全 研 究 人 员 G a r d o ň 所 说 ， 该 木 马 如 若 进 行 重 新 设 计 ， 要 将 其 中 实 施 数 据 窃 取 的 p a y l o a d 修 改 成 其 他 类 型 的 恶 意 p a y l o a d ， 这 对 于 攻 击 者 来 说 也 不 会 很 困 难 。 “ U S B 窃 取 者 窃 取 者 ” 木 马 当 前 的 信 息 木 马 当 前 的 信 息 目 前 该 木 马 的 检 测 名 称 如 下 ， p a y l o a d :   W i n 3 2 / P S W . S t e a l e r . N A I   t r o j a n l o a d e r s   :   W i n 3 2 / T r o j a n D r o p p e r . A g e n t . R F T   t r o j a n 解 密 文 件 的 哈 希 值 如 下 ， 2 C 1 8 8 C 3 9 5 A B 3 2 E A A 0 0 E 6 B 7 A A 0 3 1 6 3 2 2 4 8 F F 3 8 B 2 E B 0 3 A B E 8 2 0 C 0 5 1 7 C C E F 9 8 B C 1 7 8 5 B 7 F D 4 C D F 9 5 8 2 7 8 6 6 D 1 6 9 E 1 E 5 0 3 7 2 5 A 7 2 0 D 9 0 3 E 1 D F A F 4 5 6 D B 1 7 2 7 6 7 4 B 2 C 6 0 D 7 7 9 1 5 C 5 6 9 5 E C 9 D 3 C 4 3 6 4 E 6 C D 6 9 4 6 B D 3 3 C 7 6 4 7 1 B 0 F 3 4 A B B 3 C 2 5 3 0 A 1 6 F 3 9 E 1 0 E 4 4 7 8 C B 6 8 1 6 D ＊ 参 考 来 源 ： s o f t p e d i a ， e s e t ， F B 小 编 t r o y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理