搜索

[12908] 2018-07-05_藏匿在邮件里的“坏小子”

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-07-05_藏匿在邮件里的“坏小子” 藏 匿 在 邮 件 里 的 “ 坏 小 子 ” J u s t P l a y   F r e e B u f   2 0 1 8 - 0 7 - 0 5 不 知 从 什 么 时 候 开 始 ， 我 的 垃 圾 邮 件 开 始 暴 增 ， 而 且 主 题 千 奇 百 怪 ， 有 不 知 从 什 么 时 候 开 始 ， 我 的 垃 圾 邮 件 开 始 暴 增 ， 而 且 主 题 千 奇 百 怪 ， 有 “ 再 也 不 用 去 澳 门 赌 博 再 也 不 用 去 澳 门 赌 博 ” 、 、 “ 免 保 人 、 免 抵 免 保 人 、 免 抵 押 押 ” … 等 推 广 主 题 ； 有 等 推 广 主 题 ； 有 “ 南 北 方 压 岁 钱 差 距 有 多 大 ？ 南 北 方 压 岁 钱 差 距 有 多 大 ？ ” 、 、 “ 爱 过 才 知 道 什 么 是 痛 爱 过 才 知 道 什 么 是 痛 ” … 的 段 子 主 题 ； 也 有 的 段 子 主 题 ； 也 有 “ + 我 微 信 我 微 信 d w 1 7 8 g g ” 、 、 “ 加 扣 扣 加 扣 扣   2 8 4 8 1 1 6 8 5 2 ” … 的 交 友 主 题 。 的 交 友 主 题 。 这 些 大 部 分 都 能 从 标 题 就 能 判 断 出 来 是 垃 圾 邮 件 ， 像 那 种 日 文 、 繁 体 字 糅 杂 在 一 起 的 邮 件 就 很 难 辨 别 ， 每 次 我 都 要 点 开 看 一 看 里 面 有 什 么 。 咳 咳 ， 言 归 正 传 ， 这 里 面 最 让 人 头 痛 的 还 是 藏 匿 在 正 常 邮 件 里 的 病 毒 和 钓 鱼 欺 诈 邮 件 ， 这 些 “ 坏 小 子 ” 们 可 不 仅 仅 骗 个 点 击 而 已 ， 稍 有 不 慎 我 们 损 失 的 可 能 非 常 多 … 一 、 基 本 信 息 一 、 基 本 信 息 这 是 我 某 个 邮 件 中 的   x l s   文 件 ， 以 及 打 开 表 格 后 下 载 的 可 疑 文 件 。 拿 到 可 疑 文 件 第 一 时 间 还 是 扔 到 “ 虚 拟 执 行 环 境 ” 中 先 让 它 自 己 可 劲 儿 折 腾 一 番 ， 很 快 分 析 报 告 就 出 来 了 很 可 惜 ， 从 沙 箱 报 告 中 看 不 出 特 别 关 键 的 信 息 ， 只 能 从 行 为 上 看 出 些 许 端 倪 ， 接 下 来 需 要 我 手 动 开 始 分 析 了 … 二 、 行 为 分 析 二 、 行 为 分 析
上 手 之 前 准 备 工 作 要 做 足 ， 先 梳 理 下 流 程 ： 2 . 1   X L S   文 件 （ 文 件 （ D o w n l o a d e r ） ） 原 始 样 本 是 一 个   x l s   文 件 ， 主 要 功 能 是 作 为 一 个   d o w n l o a d e r 。 此 文 件 使 用 了 外 部 链 接 功 能 ， 这 是 一 种 除 宏 ， 漏 洞 之 外 的 另 一 种 载 荷 投 递 的 方 式 。 打 开 文 件 后 会 提 示 你 更 新 ， 点 击 更 新 后 又 会 让 你 确 定 是 否 要 启 动   c m d   进 程 。 点 击 文 档 中 的   # R E F ！ 可 以 看 到 将 要 执 行 的 命 令 行 代 码 样 本 会 从   w w w . m v a . b y / t a g s   中 下 载   S w i f t C o p y . e x e   存 放 到 临 时 目 录 下 ， 然 后 运 行 。 2 . 2   S w i f t C o p y . e x e   文 件 文 件 使 用   P E i D   查 一 下 壳 ， 显 示 为   A S P r o t e c t ， 我 的 脱 壳 技 术 一 塌 糊 涂 ， 在 网 上 找 了 一 个   O D   的 脚 本 ， 瞬 间 脱 壳 ， 感 谢 网 友 的 分 享 ， 网 友 博 客 链 接 ： h t t p s : / / b l o g . c s d n . n e t / q i n g y e 2 0 0 8 / a r t i c l e / d e t a i l s / 1 8 9 8 1 9 0 脚 本 名 为   A s p r 2 . X X _ u n p a c k e r _ v 1 . o s c ， 大 家 可 以 从 网 上 搜 索 一 下 这 个 名 字 ， 应 该 可 以 搜 到 。
脱 完 壳 之 后 是 一 个   D e l p h i   程 序 ， 其 主 要 目 的 是 创 建 自 身 并 注 入 ， 但 是 如 果 不 经 过 九 曲 十 八 弯 的 操 作 显 示 不 出 他 的 强 大 ， 他 会 循 环 调 用 自 身 中 的 一 些 函 数 ， 调 用 次 数 为   0 x 3 B ， 这 些 函 数 中 大 部 分 没 什 么 实 质 性 的 作 用 ， 但 是 万 万 不 可 大 意 ， 这 些 函 数 中 还 有 反 沙 箱 的 操 作 ， 通 过 获 得 光 标 的 值 ， 判 断 光 标 是 否 在 移 动 ， 而 且 这 个 循 环 会 连 续 循 环   7   次 。 最 终 样 本 会 创 建 自 身 并 注 入 ， 不 用 想 ， 重 点 功 能 肯 定 在 注 入 的 这 部 分 代 码 中 。 2 . 3   子 进 程 子 进 程 待 到 父 进 程 调 用   Z w R e s u m e T h r e a d   时 附 加 到 目 标 进 程 中 ， 代 码 结 构 比 较 简 单 ， 如 果 参 数 中 有 - u 参 数 ， 将 会 睡 眠 一 段 时 间 。
值 得 一 提 的 是 ， 程 序 中 调 用 的 系 统 函 数 都 是 动 态 获 得 的 ， 从 而 大 大 增 加 了 静 态 分 析 的 难 度 。 此 样 本 的 重 点 功 能 就 是 信 息 窃 取 ， 可 以 说 是 相 当 的 全 面 ， 循 环 调 用 函 数 ， 可 以 看 到 循 环 次 数 为   1 0 1 ， 窃 取 的 信 息 包 含 浏 览 器 信 息 ， 邮 箱 信 息 ， 远 程 登 陆 客 户 端 信 息 等 。 此 时 的 程 序 已 经 没 有 了 混 淆 ， 进 入 函 数 后 就 可 以 看 到 程 序 要 窃 取 信 息 的 目 标 。 对 这 些 函 数 进 行 统 计 ， 获 得 的 信 息 如 下 （ 可 以 说 是 相 当 全 面 ） 浏 览 器 类 ： 浏 览 器 类 ：
读 取 浏 览 器 的 i n i 文 件 读 取 登 录 数 据 远 程 登 录 客 户 端 类 ： 远 程 登 录 客 户 端 类 ： 获 取 用 户 名 和 密 码
邮 箱 类 ： 邮 箱 类 ： 获 取 用 户 名 和 密 码 样 本 会 根 据 不 同 的 目 标 ， 通 过 不 同 的 方 式 窃 取 数 据 ， 可 见 作 者 对 这 些 信 息 相 当 熟 悉 。 最 终 样 本 会 将 获 得 的 信 息 发 送 到 服 务 端 ， 分 析 此 样 本 捕 获 到 的   u r l   为   h t t p : / / a d m i n o . g q / s t a n /   P a n e l / f r e . p h p 此 域 名 对 应 的   I P   为   1 0 3 . 6 3 . 2 . 2 2 7 ， 通 过 情 报 社 区 查 询 ， 标 签 有 垃 圾 邮 件 、 钓 鱼 。 红 客 大 佬 们 可 以 尝 试 入 侵 入 侵 ， 看 看 攻 击 者 截 获 了 多 少 信 息 。 接 着 样 本 会 在   R o m i n g   目 录 下 创 建 一 个 文 件 夹 ， 并 将 自 身 拷 贝 过 去 ， 命 名 为   6 1 8 D 9 F .   e x e ， 并 且 将 文 件 属 性 设 置 为 隐 藏 。 最 后 还 将 在 一 个 无 限 循 环 中 创 建 线 程 ， 此 线 程 会 调 用 窃 取 信 息 的 函 数 ， 删 除 目 标 文 件 ， 下 载 文 件 并 执 行 。
三 、 总 结 三 、 总 结 其 实 这 些 使 用 电 子 邮 件 和 主 题 吸 引 用 户 阅 读 并 打 开 附 件 ， 大 部 分 是 针 对 企 业 或 组 织 。 “ 坏 小 子 ” 们 伪 装 的 方 式 非 常 多 ， 潜 伏 在 一 些   D O C 、 X L S 、 E X E   等 常 见 的 文 件 格 式 中 也 会 让 人 放 松 警 惕 ， 一 旦 盲 目 打 开 或 点 击 电 子 邮 件 中 的 链 接 ， 后 果 可 能 非 常 严 重 ！ 最 好 的 办 法 就 是 不 要 打 开 他 们 ， 不 要 冒 任 何 感 染 风 险 ， 除 非 你 会 使 用 沙 箱 产 品 或 具 备 文 件 分 析 的 能 力 。 P . S .   这 个 样 本 功 能 齐 全 ， 信 息 量 相 当 大 ， 我 也 只 分 析 个 皮 毛 ， 对 这 个 样 本 感 兴 趣 的 朋 友 们 可 以 下 载 下 来 继 续 深 度 分 析 ， 肯 定 能 够 学 到 很 多 知 识 。 报 告 地 址 如 下 ： d b 3 4 f 7 a 1 e d 8 d f a f 2 9 9 c c 0 0 2 4 d f e 8 e e 4 d 7 e 8 1 3 a 0 f 1 e 7 b f 5 7 9 4 d b 3 6 7 6 a 4 d 0 7 b d d 5 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： J u s t P l a y ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理