搜索

[11428] 2017-06-06_警惕“永恒之蓝”抓鸡工具包里的后门

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-06-06_警惕“永恒之蓝”抓鸡工具包里的后门 警 惕 “ 永 恒 之 蓝 ” 抓 鸡 工 具 包 里 的 后 门 m s x 2 0 0 9   F r e e B u f   2 0 1 7 - 0 6 - 0 6 背 景 前 几 天 晚 上 闲 来 无 事 ， 朋 友 给 了 我 一 个 4 4 5 批 量 工 具 ， 可 能 有 后 门 程 序 ， 让 我 分 析 一 下 。 经 过 分 析 我 发 现 后 门 位 于 d l l 文 件 中 ， 抓 鸡 大 牛 们 要 小 心 了 。 分 析 过 程 文 件 结 构 如 下 ： 程 序 的 运 行 过 程 很 简 单 ， 运 行 b a t 文 件 ， 就 是 扫 描 4 4 5 端 口 ， 然 后 利 用 e t e r n a l b l u e 攻 击 ， 再 加 载 p a y l o a d 的 d l l 文 件 。 那 么 后 门 在 哪 呢 ？ 在 这 个 d l l 文 件 中 ， 大 鱼 吃 小 鱼 。 好 ， 分 析 一 下 这 个 d l l 文 件 ， 没 加 壳 。 看 下 d l l 入 口 函 数 ：
这 是 d l l m a i n 函 数 ： 我 们 可 以 看 到 调 用 了 s u b _ 1 0 0 0 1 1 6 0 ( ) 这 个 函 数 ， 跟 一 下 看 看 ： 这 是 什 么 意 思 呢 ？ 增 加 账 号 可 以 理 解 ， 下 边 的 S l e e p ， W i n E x e c 这 是 要 干 什 么 ？ 我 们 让 程 序 s l e e p ， 接 着 执 行 c : u s e r s m . e x e 这 个 文 件 。 这 个 m . e x e 是 怎 么 来 的 ， 可 以 看 到 上 边 有 个 调 用 s u b _ 1 0 0 0 0 1 0 2 0 ( ) , 跟 进 去 看 一 下 ： 从 这 个 网 站 上 下 载 x z z . e x e 文 件 ， 然 后 再 执 行 ， 看 看 这 个 网 站 有 什 么 东 西 。
东 西 不 少 ， 下 载 x z z . e x e 分 析 一 下 。 首 先 释 放 如 下 文 件 ， 并 执 行 这 些 文 件 。 反 编 译 8 8 8 . e x e ， 发 现 ， 8 8 8 . e x e 从 资 源 C P P 里 读 取 文 件 ， 写 入 到 磁 盘 里 ， 名 字 是 随 机 数 字 的 d l l ， 就 是 图 中 的 5 5 8 6 3 1 7 . d l l ， 也 是 老 思 路 了 。
利 用 d l l 加 载 工 具 ， 首 先 加 载 运 行 d l l 文 件 ， 之 后 创 建 文 件 并 运 行 w 3 w p . e x e 。 利 用 w 3 w . e x e 加 载 5 5 8 6 3 1 7 . d l l , 创 建 服 务 。 反 编 译 5 5 8 6 3 1 7 . d l l ， 可 以 看 到 动 态 加 载 各 种 d l l ， 动 态 调 用 函 数 ， 免 杀 常 用 手 段 。
创 建 系 统 服 务 ， 名 字 是 w 3 w p , 描 述 为 M i c r o s o f t   C o r p o r a t i o n o t 。 发 起 网 络 连 接 ， 远 控 反 弹 。 反 弹 到 8 8 8 1 端 口 w 3 w p . e x e 发 起 的 ， 反 弹 到 6 5 4 3 端 口 是 s v c h o s t . e x e * 3 2 发 起 的 。 可 以 看 到 s v c h o s t 也 加 载 了 5 5 8 6 3 1 7 . d l l 文 件   ， 另 一 个 s v c h o s t 加 载 了 M i c k . e x e 文 件 。   反 编 译 M i c k . e x e ， 简 单 分 析 一 下 。 发 现 这 个 程 序 在 c 盘 根 目 录 记 录 了 l o g ， 也 写 入 了 服 务 ， 反 弹 端 口 。
我 们 可 以 看 到 M i c k . e x e 是 用 于 守 护 的 。 守 护 w 3 w p . e x e 进 程 。 一 旦 杀 掉 w 3 w p 进 程 ， w 3 w p 还 会 启 动 。 总   结 大 体 的 关 键 文 件 分 析 完 了 ， 这 个 工 具 包 里 的 d l l 文 件 在 完 成 表 面 的 增 加 账 号 任 务 后 ， 会 接 着 进 行 后 门 安 装 从 黑 客 网 站 上 下 载 x z z . e x e 文 件 ， 释 放 木 马 程 序 安 装 服 务 ， 并 且 有 守 护 进 程 。 *   本 文 作 者 ： m s x 2 0 0 9 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理