搜索

[12849] 2018-06-20_InvisiMole：潜伏已久的间谍

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2018-06-20_InvisiMole：潜伏已久的间谍 I n v i s i M o l e ： 潜 伏 已 久 的 间 谍 J u s t P l a y   F r e e B u f   2 0 1 8 - 0 6 - 2 0 今 天 为 大 家 介 绍 今 天 为 大 家 介 绍 I n v i s i M o l e 的 两 款 恶 意 组 件 的 操 作 方 式 。 的 两 款 恶 意 组 件 的 操 作 方 式 。   他 们 会 将 受 影 响 的 计 算 机 变 成 摄 像 机 ， 让 攻 击 者 可 以 他 们 会 将 受 影 响 的 计 算 机 变 成 摄 像 机 ， 让 攻 击 者 可 以 得 知 受 害 者 的 办 公 室 发 生 的 事 情 或 者 获 取 设 备 的 位 置 。 得 知 受 害 者 的 办 公 室 发 生 的 事 情 或 者 获 取 设 备 的 位 置 。   I n v i s i M o l e 的 操 控 者 能 够 擅 自 访 问 该 系 统 ， 密 切 监 控 受 的 操 控 者 能 够 擅 自 访 问 该 系 统 ， 密 切 监 控 受 害 者 的 活 动 并 窃 取 受 害 者 的 隐 私 。 害 者 的 活 动 并 窃 取 受 害 者 的 隐 私 。 我 们 的 监 测 数 据 表 明 ， 该 恶 意 软 件 背 后 的 操 控 者 至 少 在 2 0 1 3 年 以 来 就 一 直 处 于 活 跃 状 态 ， 但 是 直 到 乌 克 兰 和 俄 罗 斯 的 受 感 染 计 算 机 上 的 E S E T 产 品 发 现 该 网 络 间 谍 工 具 时 才 被 分 析 和 检 测 。 该 活 动 的 针 对 性 很 强   -   难 怪 恶 意 软 件 的 感 染 率 较 低 ， 只 有 几 十 台 计 算 机 受 到 影 响 。 I n v i s i M o l e 有 一 个 模 块 化 的 体 系 结 构 ， 通 过 一 个 加 壳 的 D L L 开 始 它 的 恶 意 行 为 ， 并 使 用 两 个 嵌 入 在 资 源 段 的 模 块 执 行 其 行 为 。 这 两 个 模 块 都 是 功 能 丰 富 的 后 门 ， 能 够 尽 可 能 多 地 收 集 关 于 目 标 的 信 息 。 它 还 会 采 取 额 外 的 措 施 来 避 免 引 起 受 害 者 的 注 意 ， 从 而 使 恶 意 软 件 能 够 更 长 时 间 的 驻 留 在 系 统 上 。 然 而 对 于 间 谍 软 件 是 如 何 传 播 到 受 感 染 的 机 器 还 需 进 一 步 调 查 确 定 。 所 有 感 染 方 法 都 有 可 能 ， 包 括 通 过 对 机 器 的 物 理 访 问 进 行 安 装 。 安 装 和 持 久 化 安 装 和 持 久 化 我 们 正 在 研 究 的 恶 意 软 件 的 第 一 部 分 是 一 个 加 壳 的 D L L ， 它 是 用 F r e e   P a s c a l   C o m p i l e r 编 译 的 。 我 们 发 现 这 个 D L L 被 放 置 在 W i n d o w s 文 件 夹 中 ， 伪 装 成 具 有 伪 造 版 本 信 息 资 源 的 合 法 m p r . d l l 库 文 件 。 F i n g u r e 1 - 加 壳 的 d l l 通 过 其 名 称 和 版 本 信 息 构 成 合 法 的 m p r . d l l 库 我 们 还 没 有 看 到 名 称 不 同 的 D L L ;   但 是 ， D L L 代 码 中 显 示 它 也 可 能 被 命 名 为 f x s s t . d l l 或 w i n m m . d l l 。 恶 意 软 件 的 第 一 种 启 动 方 式 是 动 态 库 劫 持 。   与 e x p l o r e r . e x e 放 在 同 一 文 件 夹 中 ， 加 壳 的 D L L 在 W i n d o w s 启 动 过 程 中 被 加 载 到 W i n d o w s 资 源 管 理 器 进 程 中 ， 而 不 是 位 于 ％ w i n d i r ％   s y s t e m 3 2 文 件 夹 中 的 合 法 库 。 我 们 发 现 了 3 2 位 和 6 4 位 版 本 的 恶 意 软 件 ， 这 使 这 种 持 久 性 技 术 在 两 种 体 系 结 构 上 均 可 正 常 工 作 。 除 了 动 态 库 劫 持 这 种 方 法 ， 其 他 加 载 和 持 久 性 方 法 也 是 可 能 的 。 此 D L L 文 件 的 导 出 函 数 名 为 G e t D a t a L e n g t h 。 当 这 个 函 数 被 调 用 的 时 候 ， d l l 会 检 测 它 是 否 由 父 进 程 为 的 e x p l o r e r . e x e 或 s v c h o s t . e x e 的 r u n d l l 3 2 . e x e 进 程 加 载 ， 只 有 这 样 ， 它 才
会 加 载 p a y l o a d 。 这 表 明 其 他 可 能 的 持 久 性 方 法 ， 例 如 通 过 计 划 任 务 （ 例 如 s v c h o s t . e x e 作 为 父 进 程 ） 或 通 过 设 置 自 启 动 注 册 表 项 （ e x p l o r e r . e x e 是 父 进 程 ） 。 无 论 是 哪 种 持 久 化 方 法 ， 恶 意 软 件 和 p a y l o a d 的 行 为 在 所 有 情 况 下 都 是 相 同 的 。 D L L 加 载 存 储 在 其 资 源 中 的 模 块 ， 名 为 R C 2 F M 和 R C 2 C L 和 （ 如 果 使 用 D L L 劫 持 ） ， 最 后 将 合 法 库 加 载 到 e x p l o r e r . e x e 进 程 中 ， 以 便 不 中 断 应 用 程 序 的 正 常 操 作 并 且 保 持 隐 藏 。 F i g u r e 2 - D l l 的 导 出 函 数 技 术 分 析 技 术 分 析 恶 意 软 件 编 译 的 确 切 日 期 未 知   -   最 近 的 D L L 样 本 被 恶 意 软 件 作 者 篡 改 ， P E 文 件 时 间 戳 被 手 动 设 置 为 零 值 。   然 而 ， 在 我 们 的 研 究 中 ， 我 们 发 现 了 一 个 早 期 版 本 的 恶 意 软 件 ， 它 的 时 间 戳 为 2 0 1 3 年 1 0 月 1 3 日 ， 所 以 后 期 版 本 的 更 新 时 间 会 更 近 。 F i t u r e 3 - 所 有 最 新 的 样 本 中 编 译 时 间 戳 都 被 设 置 为 零 加 密 与 解 密 加 密 与 解 密 为 了 提 高 其 隐 身 程 度 ， 恶 意 软 件 通 过 加 密 其 字 符 串 、 内 部 文 件 、 配 置 数 据 和 网 络 通 信 来 躲 避 管 理 员 和 分 析 师 。 虽 然 R C 2 F M 模 块 使 用 少 量 自 定 义 密 码 ， 但 D L L 和 R C 2 C L 模 块 为 所 有 目 的 共 享 一 个 特 定 例 程 ， 特 别 是 用 于 解 密 嵌 入 在 D L L 中 的 其 他 恶 意 模 块 。 E S E T ’ s m a l w a r e - r e s e a r c h   G i t H u b   r e p o s i t o r y 提 供 了 一 个 能 够 从 D L L 中 提 取 嵌 入 模 块 R C 2 F M 和 R C 2 C L 的 脚 本 。
F i g u r e 4 - 样 本 中 使 用 的 加 密 程 序 （ 反 编 译 和 反 汇 编 ） R C 2 F M 模 块 模 块 第 一 个 较 小 的 模 块 R C 2 F M 包 含 一 个 后 门 ， 支 持 1 5 种 命 令 。   这 些 都 是 在 受 到 攻 击 者 指 示 的 情 况 下 在 受 影 响 的 计 算 机 上 执 行 的 。   该 模 块 旨 在 对 系 统 进 行 各 种 更 改 ， 但 它 也 同 时 提 供 了 一 些 间 谍 命 令 。 日 志 选 项 在 整 个 文 件 中 实 现 ， 但 日 志 文 件 的 名 称 未 在 分 析 的 示 例 中 配 置 。   这 表 明 它 只 在 恶 意 软 件 的 开 发 过 程 中 使 用 。 网 络 通 信 网 络 通 信 该 模 块 通 信 的 C & C 服 务 器 地 址 被 硬 编 码 在 样 本 中 ， 或 者 后 期 由 攻 击 者 进 行 更 新 。 而 且 ， 即 使 在 受 感 染 的 计 算 机 上 配 置 了 代 理 ， 模 块 也 可 以 与 C ＆ C 服 务 器 联 系 。 如 果 直 接 连 接 不 成 功 ， 模 块 将 使 用 本 地 配 置 的 代 理 或 为 不 同 浏 览 器 ( F i r e f o x ,   P a l e   M o o n ,   a n d   O p e r a ) 配 置 的 代 理 来 与 它 任 意 的 C & C 服 务 器 进 行 连 接 。 R C 2 F M 会 检 查 最 近 执 行 的 应 用 程 序 列 表 ， 并 专 门 查 找 浏 览 器 可 执 行 文 件 ： F i r e f o x P o r t a b l e . e x e O p e r a P o r t a b l e . e x e R u n   w a t e r f o x . e x e O p e r a A C . e x e P a l e m o o n - P o r t a b l e . e x e
如 果 受 害 者 在 配 置 了 代 理 服 务 器 的 情 况 下 使 用 这 些 浏 览 器 之 一 ， 则 恶 意 软 件 可 以 根 据 用 户 的 偏 好 找 到 并 使 用 该 代 理 与 其 C ＆ C 服 务 器 进 行 通 信 。 C ＆ C 通 信 由 一 系 列 H T T P G E T 和 P O S T 请 求 组 成 ， 如 图 5 所 示 。 加 密 的 请 求 数 据 中 包 括 一 个 P C 标 识 符 和 时 间 戳 以 及 可 选 的 其 他 数 据 。 值 得 注 意 的 是 ， 与 其 他 I n v i s i M o l e 组 件 不 同 ， R C 2 F M 模 块 使 用 多 种 加 密 方 法 （ 简 单 异 或 加 密 的 变 种 ） 。 F i g u r e   5 - R C 2 F M 模 块 发 送 给 C ＆ C 服 务 器 的 请 求 示 例 在 向 C ＆ C 服 务 器 成 功 注 册 受 害 者 之 后 ， 会 下 载 其 他 数 据 ， 这 些 数 据 将 在 本 地 计 算 机 上 作 为 后 门 命 令 。 功 能 功 能 R C 2 F M 支 持 列 出 基 本 系 统 信 息 和 对 系 统 进 行 简 单 更 改 的 命 令 ， 但 也 包 括 一 些 间 谍 软 件 功 能 。 当 攻 击 者 需 要 时 ， 它 能 够 远 程 激 活 受 感 染 计 算 机 上 的 麦 克 风 并 捕 获 声 音 。 使 用 合 法 的 l a m e . d l l 库 将 音 频 录 制 内 容 编 码 为 M P 3 格 式 ， 该 内 容 能 够 被 攻 击 者 下 载 并 使 用 。 恶 意 软 件 获 取 受 害 者 隐 私 的 另 一 种 方 式 是 截 取 屏 幕 截 图 ， 这 是 另 一 种 后 门 的 命 令 。 恶 意 软 件 还 会 监 视 本 地 系 统 上 映 射 的 所 有 固 定 和 可 移 动 驱 动 器 。   无 论 何 时 插 入 新 驱 动 器 ， 它 都 会 创 建 驱 动 器 上 所 有 文 件 的 列 表 ， 并 将 其 加 密 存 储 在 文 件 中 。 所 有 收 集 到 的 数 据 最 终 都 会 在 发 出 适 当 的 命 令 时 发 送 给 攻 击 者 。 后 门 命 令 后 门 命 令 后 门 支 持 1 5 中 命 令 ， 如 下 所 示 ， 后 门 函 数 如 图 6 所 示 C o m m a n d   I D C o m m a n d   d e s c r i p t i o n 0 L i s t   i n f o r m a t i o n   a b o u t   m a p p e d   d r i v e s ,   l i s t   f i l e s   i n   a   f o l d e r ,   l i s t   n e t w o r k   s h a r e s 2 C r e a t e ,   m o v e ,   r e n a m e ,   e x e c u t e   o r   d e l e t e   a   f i l e ,   d e l e t e   a   d i r e c t o r y   u s i n g   t h e   s p e c i f i e d   p a t h 4 O p e n   a   f i l e ,   s e t   t h e   f i l e   p o i n t e r   t o   t h e   f i l e   b e g i n n i n g 5 C l o s e   a   p r e v i o u s l y   o p e n e d   f i l e
6 W r i t e   d a t a   i n t o   a   p r e v i o u s l y   o p e n e d   f i l e 7 M o d i f y   f i l e   t i m e s   /   d e l e t e   a   f i l e 8 O p e n   a   f i l e ,   s e t   t h e   f i l e   p o i n t e r   t o   t h e   e n d   o f   t h e   f i l e 1 0 M o d i f y   f i l e   t i m e s   /   d e l e t e   a   f i l e 1 2 S e a r c h   f i l e s   b y   s u p p l i e d   f i l e   m a s k   i n   a   s p e c i f i e d   d i r e c t o r y 1 3 T a k e   a   s c r e e n s h o t 1 4 U p l o a d   o r   m o d i f y   f i l e s   w i t h   i n t e r n a l   d a t a 1 5 R e c o r d   s o u n d   u s i n g   i n p u t   a u d i o   d e v i c e s ,   l i s t   a v a i l a b l e   d e v i c e s ,   s e n d   r e c o r d i n g s ,   c h a n g e   c o n f i g u r a t i o n 1 6 C h e c k   w h e t h e r   t h i s   m o d u l e   c u r r e n t l y   h a s   a n y   f i l e s   o p e n 1 7 U p d a t e   l i s t   o f   C & C   s e r v e r s 1 9 C r e a t e ,   s e t ,   c o p y ,   e n u m e r a t e   o r   d e l e t e   t h e   s p e c i f i e d   r e g i s t r y   k e y s   o r   v a l u e s C o m m a n d   I D C o m m a n d   d e s c r i p t i o n F i g u r e   6 - 后 门 函 数 （ 原 始 的 和 经 过 我 们 的 分 析 后 ， 使 用 I D A   P r o 的 G r o u p   N o d e s 功 能 进 行 了 更 改 ， 以 获 得 更 好 的 可 读 性 ） R C 2 C L 模 块 模 块 R C 2 C L 模 块 也 是 一 个 具 有 广 泛 间 谍 功 能 的 后 门 。   它 由 D L L 启 动 ， 与 R C 2 F M 模 块 同 时 启 动 。   这 个 更 复 杂 ， 并 提 供 了 尽 可 能 多 地 收 集 受 感 染 计 算 机 的 数 据 的 功 能 ， 而 不 是 用 于 更 改 系 统 。 有 趣 的 是 ， R C 2 C L 模 块 中 有 一 个 选 项 可 以 关 闭 它 的 后 门 功 能 并 充 当 代 理 。   在 这 种 情 况 下 ， 恶 意 软 件 会 关 闭 W i n d o w s 防 火 墙 并 创 建 一 个 客 户 端 与 C ＆ C 服 务 器 之 间 或 两 个 客 户 端 之 间 通 信 的 服 务 器 。 网 络 通 信 网 络 通 信 恶 意 软 件 通 过 T C P 套 接 字 与 其 C ＆ C 服 务 器 进 行 通 信 。   从 客 户 端 发 送 的 消 息 模 仿 H T T P 协 议 ， 但 请 注 意 图 7 中 示 例 中 无 效 的 “ H I D E ” H T T P   v e r b 。 发 送 给 攻 击 者 的 请 求 中 包 含 被 入 侵 的 P C 的 标 识 符 ， 请 求 类 型 和 加 密 数 据 ， 例 如 后 门 命 令 的 结 果 或 对 进 一 步 指 令 的 请 求 。
F i g u r e 7   -   由 R C 2 C L 模 块 发 送 到 C ＆ C 服 务 器 的 请 求 示 例 功 能 功 能 根 据 收 到 的 命 令 ， 后 门 可 以 在 受 感 染 的 计 算 机 上 执 行 各 种 操 作 。   常 见 的 后 门 通 常 支 持 诸 如 文 件 系 统 操 作 ， 文 件 执 行 ， 注 册 表 键 操 作 或 远 程 s h e l l 之 类 的 命 令 。 这 个 间 谍 软 件 支 持 所 有 这 些 指 令 ， 并 且 它 的 8 4 个 命 令 使 攻 击 者 能 够 更 加 密 切 的 监 控 受 害 者 。 恶 意 软 件 可 以 检 查 受 感 染 的 计 算 机 ， 并 提 供 各 种 数 据 ， 从 系 统 信 息 （ 如 活 动 进 程 列 表 、 运 行 服 务 、 加 载 的 驱 动 器 或 可 用 的 驱 动 器 ） 到 网 络 信 息 ， 包 括 I P 转 发 表 和 互 联 网 连 接 的 速 度 。 I n v i s i M o l e 能 够 在 受 损 系 统 上 扫 描 启 用 的 无 线 网 络 。   它 会 记 录 可 见 W i - F i 接 入 点 的 S S I D 和 M A C 地 址 等 信 息 。   然 后 可 以 将 这 些 数 据 与 公 共 数 据 库 进 行 比 较 ， 使 攻 击 者 跟 踪 受 害 者 的 地 理 位 置 。 其 他 命 令 可 以 提 供 有 关 受 感 染 计 算 机 的 用 户 信 息 ， 例 如 他 们 的 帐 户 和 以 前 的 会 话 的 信 息 。 攻 击 者 对 安 装 在 受 感 染 计 算 机 上 的 软 件 特 别 感 兴 趣 。   系 统 上 安 装 了 哪 些 程 序 ？   哪 些 是 在 系 统 启 动 或 用 户 登 录 时 自 动 执 行 的 ？   哪 些 程 序 被 特 定 用 户 使 用 ？   如 果 攻 击 者 有 兴 趣 ， 只 需 一 个 命 令 就 可 以 获 得 重 要 数 据 。 恶 意 软 件 能 够 搜 索 最 近 使 用 的 文 档 或 其 他 有 趣 的 文 件 。   它 可 以 监 视 特 定 目 录 和 可 移 动 设 备 ， 一 旦 攻 击 者 感 兴 趣 的 文 件 被 更 改 或 泄 露 ， 就 将 此 信 息 反 馈 给 攻 击 者 。 恶 意 软 件 可 启 用 或 禁 用 用 户 帐 户 控 制 （ U A C ） ， 甚 至 绕 过 U A C 并 在 安 全 位 置 处 理 文 件 而 无 需 管 理 员 权 限 （ 请 参 阅 h t t p s : / / w i k i l e a k s . o r g / c i a v 7 p 1 / c m s / p a g e _ 3 3 7 5 2 3 1 . h t m l ） 。   如 果 恶 意 软 件 在 自 动 升 级 的 e x p l o r e r . e x e 进 程 下 运 行 ， 它 可 以 创 建 一 个 C O M 对 象 ， 并 使 用 它 来 删 除 或 移 动 需 要 管 理 员 权 限 的 位 置 中 的 文 件 。 更 令 人 不 安 的 是 ， 它 可 以 远 程 激 活 受 害 者 的 摄 像 头 和 麦 克 风 ， 并 通 过 拍 摄 和 录 制 声 音 来 窥 探 受 害 者 。 屏 幕 活 动 可 以 通 过 捕 捉 屏 幕 截 图 来 监 控 。   I n v i s i M o l e 中 特 别 有 趣 的 是 ， 不 仅 是 常 用 的 “ 全 屏 显 示 ” 屏 幕 截 图   -   它 还 可 以 分 别 捕 捉 每 个 窗 口 ， 即 使 窗 口 是 重 叠 的 。 这 有 助 于 攻 击 者 获 得 更 多 信 息 。 此 外 ， 其 中 一 个 后 门 命 令 用 于 替 换 驱 动 程 序 的 内 容 ， 其 名 称 如 下 ： b l b d r i v e . s y s c o m p b a t t . s y s s e c d r v . s y s
我 们 还 没 有 观 察 到 实 际 使 用 这 个 命 令 的 攻 击 者 ， 但 我 们 可 以 推 测 这 样 做 是 为 了 在 3 2 位 系 统 上 实 现 额 外 的 持 久 性 。 虽 然 后 门 能 够 干 扰 系 统 （ 例 如 注 销 用 户 ， 终 止 进 程 或 关 闭 系 统 ） ， 但 它 大 多 提 供 被 动 操 作 。 只 要 有 可 能 ， 它 就 会 试 图 隐 藏 它 的 活 动 。 例 如 ， 恶 意 软 件 在 系 统 的 有 趣 地 点 周 围 嗅 探 ， 读 取 最 近 的 文 档 ， 甚 至 修 改 一 些 文 件 。   这 会 在 系 统 上 留 下 痕 迹 ， 并 且 上 次 访 问 或 修 改 文 件 的 时 间 会 由 于 此 类 活 动 而 改 变 ， 可 能 会 引 起 受 害 者 的 怀 疑 。 为 防 止 这 种 情 况 发 生 ， 恶 意 软 件 会 始 终 恢 复 原 始 文 件 访 问 或 修 改 的 时 间 ， 以 便 用 户 不 会 察 觉 其 操 作 。 攻 击 者 如 何 试 图 暗 中 行 事 的 另 一 个 例 子 是 他 们 对 待 磁 盘 上 留 下 的 痕 迹 的 处 理 方 法 。   恶 意 软 件 会 收 集 大 量 敏 感 数 据 ， 然 后 将 其 临 时 存 储 在 文 件 中 ， 并 在 成 功 上 传 到 C ＆ C 服 务 器 后 将 其 删 除 。 但 是 ， 即 使 被 删 除 的 文 件 也 可 以 由 有 经 验 的 系 统 管 理 员 恢 复 ， 在 受 害 者 意 识 到 之 后 ， 可 以 进 一 步 调 查 攻 击 。 这 种 情 况 是 可 能 存 在 的 ， 因 为 即 使 在 文 件 被 删 除 之 后 ， 一 些 数 据 仍 然 驻 留 在 磁 盘 上 。 为 了 防 止 这 种 情 况 发 生 ， 攻 击 者 需 要 安 全 地 删 除 所 有 文 件 ， 这 意 味 着 它 首 先 用 零 或 随 机 字 节 覆 盖 文 件 中 的 数 据 ， 然 后 才 删 除 该 文 件 。 内 部 存 储 器 内 部 存 储 器 后 门 的 配 置 信 息 和 收 集 到 的 数 据 存 储 工 作 目 录 或 注 册 表 中 。   大 部 分 后 门 命 令 用 于 操 纵 这 些 存 储 位 置 及 其 内 容 。 工 作 目 录 的 位 置 由 远 程 服 务 器 的 指 令 决 定 。 该 目 录 用 作 临 时 存 储 收 集 的 受 感 染 计 算 机 数 据 的 文 件 。 这 些 文 件 共 享 一 个 通 用 的 命 名 约 定 ， 加 密 算 法 和 结 构 。 它 们 使 用 的 X O R 加 密 算 法 的 简 单 变 体 进 行 加 密 。 文 件 的 类 型 可 以 从 文 件 开 始 时 放 置 的 4 字 节 控 制 序 列 导 出 。 除 了 作 为 收 集 数 据 的 仓 库 外 ， 工 作 目 录 还 包 含 合 法 的 W i n R A R . e x e 应 用 程 序 的 副 本 。 这 被 恶 意 软 件 复 制 并 被 攻 击 者 滥 用 以 压 缩 泄 露 的 数 据 。 注 册 表 中 存 储 配 置 的 数 据 ， 以 及 工 作 目 录 中 的 文 件 列 表 。   数 据 被 恶 意 软 件 二 进 制 文 件 中 实 现 的 Z l i b 例 程 压 缩 ， 并 使 用 与 内 部 文 件 相 同 的 密 码 进 行 加 密 。 S u b d i r e c t o r y   n a m e F i l e   n a m e C o n t r o l   s e q u e n c e s F i l e   c o n t e n t ~ m r c _ % r a n d o m % . t m p 9 3 2 1 0 1 D A A u d i o   r e c o r d i n g s ~ s r c _ % r a n d o m % . t m p 9 5 8 9 0 1 D A A u d i o   r e c o r d i n g s ~ w b c _ % r a n d o m % . t m p 9 3 8 9 0 1 D A W e b c a m   p h o t o s S c ~ s c % r a n d o m % . t m p D F E 4 3 A 0 8 S c r e e n s h o t s ~ z l p z d f _ % r a n d o m % . d a t a B 1 C B F 2 1 8 Z l i b - c o m p r e s s e d   p a c k a g e s ~ l c f t f l _ % r a n d o m % C 0 A F F 2 0 8 I n t e r n a l   d a t a f l _ % t i m e s t a m p % s t r c n % n u m % f d a t a . d a t A 1 C A F 1 0 8 D a t a   f r o m   r e m o v a b l e   d r i v e s f l _ % t i m e s t a m p % s t r c n % n u m % i n d e x . d a t B A A B 0 0 1 9 D a t a   f r o m   r e m o v a b l e   d r i v e s W i n r a r W i n R A R . e x e - C o p y   o f   a   l e g i t i m a t e   a p p l i c a t i o n W i n r a r c o m m e n t . t x t - - W i n r a r d e s c r i p t . i o n - - W i n r a r D e f a u l t . S F X - - W i n r a r m a i n . i c o - - 后 门 命 令 后 门 命 令 后 门 提 供 了 8 0 多 条 利 用 工 作 目 录 和 注 册 表 键 来 存 储 其 中 间 结 果 和 配 置 数 据 的 命 令 。 后 门 功 能 如 图 8 所 示 。 大 约 三 分 之 一 的 命 令 专 门 用 于 读 取 和 更 新 存 储 在 注 册 表 中 的 配 置 数 据 。   下 表 列 出 了 其 余 命 令 。 C o m m a n d   I D ( s )   C o m m a n d   d e s c r i p t i o n
4   L i s t   i n f o r m a t i o n   a b o u t   f i l e s   i n   a d i r e c t o r y 6   U p l o a d   a   f i l e 2 0   L i s t   i n f o r m a t i o n   a b o u t   a c t i v e   p r o c e s s e s 2 2   T e r m i n a t e   a   p r o c e s s   b y   I D 2 4   E x e c u t e   a   f i l e 2 6   D e l e t e   a   f i l e 2 8   G e t   t h e   I P   f o r w a r d   t a b l e 3 0   W r i t e   d a t a   t o   a   f i l e 3 1   S l e e p 3 8   L i s t   a c c o u n t   i n f o r m a t i o n 4 0   L i s t   i n f o r m a t i o n   a b o u t   s e r v i c e s   o n   t h e s y s t e m 4 2   L i s t   i n f o r m a t i o n   a b o u t   l o a d e d   d r i v e r s 4 3   C o l l e c t   b a s i c   s y s t e m   i n f o r m a t i o n   ( c o m p u t e r n a m e ,   O S   v e r s i o n ,   m e m o r y   s t a t u s ,   l o c a l   t i m e ,   d r i v e   i n f o r m a t i o n , c o n f i g u r e d p r o x y   i n f o r m a t i o n ,   s y s t e m   a n d   p r o c e s s   D E P   p o l i c y … ) 4 4   L i s t   i n s t a l l e d   s o f t w a r e 4 6   L i s t   l o c a l   u s e r s   a n d   s e s s i o n   i n f o r m a t i o n 4 8   L i s t   a p p l i c a t i o n s   a c c e s s e d   b y   u s e r s 5 2   C r e a t e   a   d i r e c t o r y   s t r u c t u r e 7 8   C r e a t e   a   r e m o t e   s h e l l 8 1   E x e c u t e   a   c o m m a n d   v i a   a   r e m o t e   s h e l l 9 1   E n a b l e / d i s a b l e   U A C 9 3   L o g   o f f   t h e   u s e r / s h u t d o w n / r e s t a r t   t h e s y s t e m 1 0 1   M o n i t o r   a n d   r e c o r d   c h a n g e s   i n   t h e   s p e c i f i e d d i r e c t o r i e s 1 0 3   D e l e t e   d i r e c t o r i e s 1 0 9   T u r n   t h e   m o n i t o r   o n / o f f / o n t o   s t a n d b y 1 2 0   C a p t u r e   s c r e e n s h o t s   o f   t h e   d i s p l a y / a c t i v e w i n d o w s 1 2 6   C a p t u r e   s c r e e n s h o t s   o f   t h e   d i s p l a y / a c t i v e w i n d o w s   &   u p d a t e   c o n f i g u r a t i o n   d a t a 1 3 0   L i s t   i n f o r m a t i o n   a b o u t   r e s o u r c e s   o n   u n m a p p e d d r i v e s 1 3 2   R e n a m e / m o v e   a   f i l e ,   m o d i f y   c r e a t e / a c c e s s / w r i t e t i m e s   o f   t h e   f i l e   t o   t h e   g i v e n   v a l u e s 1 3 4   L i s t   i n f o r m a t i o n   a b o u t   r e c e n t l y   o p e n e d   f i l e s 1 5 2   D i s c o n n e c t   ( p r e v i o u s l y   c o n n e c t e d )   r e m o t e d r i v e s
1 5 5   C r e a t e / d e l e t e   a   r e g i s t r y   k e y ,   s e t / d e l e t e   a r e g i s t r y   k e y   v a l u e ,   o r   e n u m e r a t e   r e g i s t r y   v a l u e s / k e y s / d a t a 1 5 9 ,   1 6 1   D i s a b l e   r o u t i n g / f i r e w a l l ,   c r e a t e   a   p r o x y s e r v e r   o n   a   s p e c i f i e d   p o r t 1 7 2   R e p e a t e d l y   d i s p l a y   a   d i a l o g   r e q u e s t i n g   t h e u s e r   t o   r e b o o t   t h e   c o m p u t e r 1 7 5   B y p a s s   U A C   t o   m a n i p u l a t e   a   f i l e 1 7 7   C r e a t e   a n d   w r i t e   a   f i l e ,   s e t   t h e c r e a t e / a c c e s s / m o d i f y   t i m e s 1 8 1   R e m o v e   a l l   s y s t e m   r e s t o r e   p o i n t s 1 8 3   D r o p   ( l e g i t i m a t e )   W i n R A R   c o m p o n e n t s 1 8 5   A d d   f i l e s   t o   a   p a s s w o r d - p r o t e c t e d   a r c h i v e ( p a s s w o r d   =   “ 1 2 K s N h 9 2 D w d ” ) 1 8 7   D e c r y p t ,   u n p a c k   a n d   l o a d   a   D L L ,   l o a d e x e c u t a b l e s   f r o m   i t s   r e s o u r c e s   R C 2 C L ,   R C 2 F M 1 8 9   C r e a t e   a   s y s t e m   r e s t o r e   p o i n t 1 9 1   E x t r a c t   a   p a s s w o r d - p r o t e c t e d   a r c h i v e ( 1 2 K s N h 9 2 D w d ) 1 9 3   M o d i f y   a n   e n c r y p t e d   f i l e 1 9 5   R e s t a r t   i t s e l f   a f t e r   t h e   p r i m a r y   p r o c e s s f i n i s h e s 1 9 7   S e n d   1 9 8   b y t e s   o f   d a t a   h a r d c o d e d   i n   t h e   s a m p l e 1 9 9   R e n a m e / m o v e   a   f i l e 2 0 6   D e c r y p t ,   u n p a c k   a n d   l o a d   a   D L L ,   l o a d e x e c u t a b l e s   f r o m   i t s   r e s o u r c e s   R C 2 C L ,   R C 2 F M 2 1 1   U p l o a d   c o l l e c t e d   i n f o r m a t i o n   ( c a p t u r e d s c r e e n s h o t s ,   a u d i o   r e c o r d i n g s ,   e t c . ) 2 1 3   L i s t   i n f o r m a t i o n   a b o u t   a c t i v e   w i n d o w s 2 1 8   A P I   f o r   r e c o r d i n g   i n p u t   a u d i o   d e v i c e s 2 2 0   A P I   f o r   c a p t u r i n g   w e b c a m   p h o t o s 2 2 4   L i s t   f i l e s   e x e c u t e d   w i t h   e a c h   s y s t e m   s t a r t 2 2 6   L i s t   i n f o r m a t i o n   a b o u t   e n a b l e d   w i r e l e s s n e t w o r k s   ( M A C   a d d r e s s ,   S S I D ,   b e a c o n   i n t e r v a l ) 2 2 8   D r o p   a   Z l i b - c o m p r e s s e d   p a c k a g e
F i g u r e   8 - 后 门 函 数 功 能 （ 原 始 的 和 经 过 我 们 的 分 析 后 ， 使 用 I D A   P r o 的 G r o u p   N o d e s 功 能 进 行 了 更 改 ， 以 获 得 更 好 的 可 读 性 ） 总 结 总 结 I n v i s i M o l e 是 功 能 齐 全 的 间 谍 软 件 ， 它 的 丰 富 功 能 可 以 与 其 他 间 谍 工 具 相 抗 衡 。 我 们 只 能 想 知 道 为 什 么 作 者 决 定 使 用 两 个 具 有 重 叠 功 能 的 模 块 。   人 们 可 能 会 认 为 较 小 的 模 块 R C 2 F M 被 用 作 初 始 侦 察 工 具 ， 而 较 大 的 R C 2 C L 模 块 仅 用 于 感 兴 趣 的 目 标 。 然 而 ， 情 况 并 非 如 此   -   两 个 模 块 都 是 同 时 启 动 的 。 另 一 种 可 能 的 解 释 是 ， 这 些 模 块 可 能 是 由 不 同 的 作 者 制 作 的 ， 然 后 捆 绑 在 一 起 为 恶 意 软 件 运 营 商 提 供 更 复 杂 的 功 能 。 恶 意 软 件 只 使 用 少 数 几 种 技 术 来 避 免 检 测 和 分 析 ， 然 而 ， 针 对 极 少 数 高 价 值 目 标 部 署 的 恶 意 软 件 至 少 可 以 保 持 五 年 的 隐 藏 状 态 。 I O C s 在 G i t H u b 上 可 以 找 到 完 整 和 全 面 的 I o C ， C ＆ C 服 务 器 列 表 以 及 注 册 表 项 和 值 。 *   原 文 ： 原 文 ： W e L i v e S e c u r i t y ， 作 者 ： ， 作 者 ： J u s t P l a y ， 转 载 注 明 来 自 ， 转 载 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理