搜索

[12451] 2018-03-10_详细分析使用Certutil解码的Office恶意软件

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-03-10_详细分析使用Certutil解码的Office恶意软件 详 细 分 析 使 用 C e r t u t i l 解 码 的 O f f i c e 恶 意 软 件 银 河 实 验 室   F r e e B u f   2 0 1 8 - 0 3 - 1 0 最 近 发 现 使 用 最 近 发 现 使 用 c e r t u t i l 进 行 解 码 的 进 行 解 码 的 o f f i c e 恶 意 软 件 ， 这 种 恶 意 软 件 通 过 恶 意 软 件 ， 这 种 恶 意 软 件 通 过 O L E 机 制 落 地 通 过 机 制 落 地 通 过 B A S E 6 4 编 码 的 恶 意 软 编 码 的 恶 意 软 件 ， 然 后 通 过 调 用 件 ， 然 后 通 过 调 用 c e r t u t i l 来 进 行 解 码 恶 意 软 件 ， 并 通 过 宏 来 启 动 恶 意 软 件 ， 这 样 做 主 要 是 为 了 绕 过 杀 软 的 检 测 来 进 行 解 码 恶 意 软 件 ， 并 通 过 宏 来 启 动 恶 意 软 件 ， 这 样 做 主 要 是 为 了 绕 过 杀 软 的 检 测 点 。 点 。 详 细 分 析 详 细 分 析 首 先 打 开 文 档 会 看 到 要 启 动 宏 提 示 ， 说 明 是 有 宏 代 码 的 ， 兰 云 科 技 提 醒 大 家 再 没 有 明 确 确 认 的 情 况 下 ， 不 要 随 便 点 击 o f f i c e 下 面 的 提 示 。 下 面 打 开 宏 代 码 进 行 分 析 发 现 里 面 的 宏 代 码 是 加 了 密 码 的 。 通 过 脚 本 对 密 码 进 行 替 换 ， 成 功 读 取 到 了 其 中 的 宏 代 码 。 可 以 看 到 样 本 会 获 取 S h e l l E x e c u t e A   和 G e t T e m p P a t h A 两 个 A P I 进 行 备 用 。 再 获 取 A P I 后 ， 使 用 宏 代 码 激 活 样 本 中 的 O L E 对 象 。
可 以 看 到 样 本 中 有 个 O L E 对 象 当 宏 代 码 激 活 时 会 释 放 到 临 时 文 件 夹 中 。 再 将 这 个 文 件 释 放 到 临 时 文 件 中 后 ， 样 本 会 调 用 G Y U O D S 函 数 。 这 个 函 数 主 要 会 调 用 G e t T e m p P a t h   来 获 取 临 时 文 件 夹 路 径 。 在 获 取 了 临 时 文 件 夹 后 ， 拼 接 出 O L E 对 象 的 路 径   T e m p W O R D . V R E 。 在 拼 接 出 以 后 开 始 调 用   c e r t u t i l . e x e   进 行 对 W O R D , V R E 进 行 解 码 。
下 图 为 W O R D . V R E 被 编 码 的 格 式 。 c e r t u t i l . e x e   是 微 软 自 带 的 软 件 ， 阅 读 原 文 阅 读 原 文 查 看 官 方 的 介 绍 其 中 的 d e c o d e 和 e n c o d e 可 以 实 现 对 一 个 文 件 进 行 B a s e 6 4 的 编 码 和 解 码 。 在 解 码 完 W O R D , V R E 成 V R E . e x e 后 ， 最 后 调 用 执 行 。 可 以 简 单 看 下   V R E . E X E 先 通 过 启 动 I E 进 程 并 将 恶 意 代 码 注 入 I E 进 程 。
并 设 置 开 机 自 启 动 。 连 接 的 C & C 地 址 为 1 9 3 . 1 3 8 . 2 2 3 . 4 4 。 总 结 总 结 恶 意 软 件 通 过 一 些 绕 过 杀 软 的 技 术 来 实 现 最 终 的 恶 意 软 件 的 注 入 和 释 放 ， 对 于 宏 病 毒 ， 大 家 还 是 需 要 提 起 注 意 。 * 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 兰 云 科 技 银 河 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理