搜索

[13246] 2018-09-30_应急响应中分析64位恶意dll的小故事

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-09-30_应急响应中分析64位恶意dll的小故事 应 急 响 应 中 分 析 6 4 位 恶 意 d l l 的 小 故 事 原 创   t a h f   F r e e B u f   2 0 1 8 - 0 9 - 3 0 作 为 一 名 沉 迷 于 安 全 技 术 的 小 白 ， 近 期 在 对 公 司 一 台 作 为 一 名 沉 迷 于 安 全 技 术 的 小 白 ， 近 期 在 对 公 司 一 台 W i n 7 客 户 主 机 进 行 安 全 应 急 响 应 时 ， 捕 获 到 一 个 客 户 主 机 进 行 安 全 应 急 响 应 时 ， 捕 获 到 一 个 6 4 位 位 d l l 形 形 式 的 恶 意 程 序 ， 于 是 对 其 展 开 分 析 ， 收 获 很 多 。 下 面 想 结 合 取 证 分 析 的 过 程 ， 从 取 证 经 过 、 动 静 态 分 析 、 破 解 式 的 恶 意 程 序 ， 于 是 对 其 展 开 分 析 ， 收 获 很 多 。 下 面 想 结 合 取 证 分 析 的 过 程 ， 从 取 证 经 过 、 动 静 态 分 析 、 破 解 加 密 等 角 度 入 手 ， 与 大 家 分 享 一 些 综 合 性 的 恶 意 程 序 分 析 方 法 ， 相 互 启 发 ， 相 互 学 习 。 也 许 有 些 方 法 比 较 基 加 密 等 角 度 入 手 ， 与 大 家 分 享 一 些 综 合 性 的 恶 意 程 序 分 析 方 法 ， 相 互 启 发 ， 相 互 学 习 。 也 许 有 些 方 法 比 较 基 础 ， 望 各 位 大 佬 勿 喷 础 ， 望 各 位 大 佬 勿 喷 ~ 提 供 d l l 样 本 以 便 大 家 茶 余 饭 后 分 析 着 玩 玩 ~ 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 y 7 y l C g R U 2 k h p V a Y h l I n g s w 密 码 ： x u t 0 取 证 经 过 取 证 经 过 某 用 户 向 S R C 反 映 最 近 自 己 的 邮 箱 账 号 被 盗 ， 作 为 应 急 中 心 的 一 员 ， 我 与 团 队 成 员 一 起 对 该 用 户 的 电 脑 进 行 了 初 步 的 取 证 和 排 查 。 个 人 对 个 人 主 机 排 查 的 常 用 思 路 是 ： 可 疑 进 程 网 络 流 量 启 动 项 文 件 比 对 但 为 了 达 到 攻 击 持 久 化 的 目 的 ， 恶 意 程 序 往 往 会 对 系 统 进 行 驻 留 ， 因 此 对 启 动 项 进 行 检 测 排 查 是 一 个 非 常 重 要 的 环 节 。 下 面 先 推 荐 一 款 比 较 好 用 的 常 规 自 启 动 检 测 工 具 。 a u t o r u n s . e x e 是 一 款 出 色 的 启 动 项 目 管 理 工 具 ， 作 用 就 是 检 查 开 机 自 动 加 载 的 所 有 程 序 ， 例 如 硬 件 驱 动 程 序 ， w i n d o w s 核 心 启 动 程 序 和 应 用 程 序 。 它 比 w i n d o w s 自 带 的 m s c o n f i g . e x e 还 要 强 大 ， 通 过 它 我 们 还 可 以 看 到 一 些 在 m s c o n f i g 里 面 无 法 查 看 到 的 病 毒 和 木 马 以 及 恶 意 插 件 程 序 ， 还 能 够 详 细 的 把 启 动 项 目 加 载 的 所 有 程 序 列 出 来 。 比 如 l o g o n 、 e x p l o r e r 还 有 I E 上 加 载 的 d l l 跟 其 它 组 件 。
但 a u t o t u n s 也 不 是 万 能 的 ， 比 如 d l l 劫 持 等 部 分 特 殊 的 启 动 方 式 也 无 法 检 测 到 。 作 为 取 证 人 员 ， 平 时 应 该 多 多 搜 集 和 积 累 攻 击 者 使 用 的 奇 淫 巧 技 。 由 于 个 人 在 对 d l l 劫 持 方 式 有 较 多 的 了 解 和 实 践 ， 同 时 结 合 文 件 比 对 ， 终 于 发 现 主 机   目 录 下 多 了 一 个 叫 m i d i m a p . d l l 的 动 态 库 ， 基 本 可 以 断 定 为 可 疑 程 序 ， 便 对 其 展 开 分 析 。 动 静 态 分 析 动 静 态 分 析 首 先 我 们 对 加 载 该 d l l 的 进 程 做 了 监 控 和 分 析 。 d l l 劫 持 技 术 分 析 ： 根 据 以 往 经 验 ， 可 以 利 用 工 具 和 相 关 命 令 迅 速 确 定 是 哪 些 进 程 加 载 了 这 个 m i d i m a p . d l l ， 推 荐 2 种 简 便 方 法 。 以 管 理 员 权 限 运 行   命 令 ， 可 以 获 得 所 有 进 程 中 加 载 的 动 态 链 接 库 ， 也 可 以 具 体 到 某 一 个 d l l 对 应 的 进 程 ， 见 下 图 。 P r o c e s s   E x p l o r e r C : w i n d o w s t a s k l i s t   / m   X X X . d l l t a s k l i s t   / m
非 常 好 用 的 一 款 增 强 型 任 务 管 理 器 软 件 ， 让 使 用 者 能 了 解 看 不 到 的 在 后 台 执 行 的 处 理 程 序 ， 能 显 示 目 前 已 经 载 入 哪 些 模 块 ， 分 别 是 正 在 被 哪 些 程 序 使 用 着 ， 还 可 显 示 这 些 程 序 所 调 用 的   D L L 进 程 ， 以 及 他 们 所 打 开 的 句 柄 。 综 上 ， 可 确 定 是 e x p l o r e r . e x e 进 程 加 载 了 m i d i m a p . d l l 。 同 时 ， 我 们 利 用 一 台 干 净 的 w i n 7 虚 拟 机 对 e x p l o r e r . e x e 加 载 m i d i m a p . d l l 的 过 程 进 行 了 分 析 。 使 用 P r o c e s s   M o n i t o r 软 件 对 e x p l o r e r . e x e 进 程 的 行 为 进 行 了 监 控 并 设 置 了 过 滤 条 件 ， 如 下 图 。 可 发 现 正 常 情 况 下 ， e x p l o r e r . e x e 应 加 载 位 于   目 录 下 的 m i d i m a p . d l l ， 但 由 于 e x e 加 载 d l l 有 一 定 的 搜 索 顺 序 ， 会 首 先 在 同 目 录 下 查 找 对 应 的 d l l 文 件 。 因 此 将 恶 意 的 m i d i m a p . d l l 文 件 放 置 在   目 录 下 即 可 实 现 d l l 劫 持 。 行 为 分 析 行 为 分 析 除 了 对 恶 意 程 序 进 行 直 接 的 静 态 分 析 和 动 态 跟 踪 调 试 ， 我 们 还 常 使 用 其 他 工 具 和 手 段 对 恶 意 程 序 的 行 为 进 行 监 控 和 分 析 ， 尤 其 在 对 一 些 较 难 逆 向 的 复 杂 程 序 进 行 分 析 时 ， 结 合 行 为 监 控 将 大 大 提 高 分 析 效 率 。 这 里 也 简 单 介 绍 2 款 工 具 。 P r o c m o n P r o c e s s   M o n i t o r 是 一 款 能 够 实 时 显 示 文 件 系 统 、 注 册 表 与 进 程 活 动 的 高 级 工 具 ， 是 微 软 推 荐 的 一 个 系 统 监 视 工 具 。 增 加 了 进 程 I D 、 用 户 、 进 程 可 靠 度 、 等 等 监 视 项 ， 可 以 记 录 到 文 件 中 。 它 的 强 大 功 能 足 以 让 其 成 为 你 系 统 中 的 核 心 组 件 C : w i n d o w s s y s t e m 3 2 C : w i n d o w s
以 及 病 毒 探 测 工 具 。 文 件 监 控 软 件 利 用 文 件 监 控 软 件 往 往 能 对 恶 意 程 序 的 读 写 的 文 件 的 路 径 进 行 快 速 定 位 。 在 对 该 恶 意 动 态 库 进 行 分 析 时 ， 我 们 使 用 P r o c m o n 工 具 对 e x p l o r e r . e x e （ 加 载 恶 意 d l l ） 进 程 的 行 为 进 行 了 监 控 ， 在 敲 击 键 盘 和 移 动 鼠 标 时 ， 会 伴 有 文 件 读 写 的 行 为 ， 定 位 到   疑 似 为 恶 意 程 序 产 生 的 记 录 文 件 。 使 用 0 1 0 e d i t o r 打 开 c a c h e s _ v e r s i o n ， 疑 似 加 密 的 记 录 文 件 。 C : U s e r s W i n d o w s A p p d a t a L o c a l M i c r o s o f t W i n d o w s C a c h e s c a c h e s _ v e r s i o n . d b
静 态 分 析 静 态 分 析 用 I D A 对 正 常 路 径   下 的 m i d i m a p . d l l 与 在   下 的 恶 意 m i d i m a p . d l l 进 行 对 比 。 可 见 恶 意 d l l 导 出 函 数 与 正 常 d l l 的 完 全 相 同 。 但 对 恶 意 程 序 进 行 初 步 分 析 后 ， 可 发 现 其 实 现 了 函 数 转 发 ， 将 功 能 的 调 用 转 至 正 常 路 径 下 的 动 态 库 。 下 图 是 从 恶 意 d l l 中 提 取 的 字 符 串 信 息 ， 根 据 经 验 ， 再 结 合 函 数 导 入 表 中 调 用   等 函 数 ， 基 本 可 以 确 定 该 恶 意 d l l 的 大 致 功 能 ， 即 为 键 盘 记 录 工 具 。 C : w i n d o w s s y s t e m 3 2 C : w i n d o w s G e t K e y S t a t e ， G e t C l i p b o a r d D a t a ， G e t W i n d o w s T e x t A
目 前 ， 恶 意 d l l 的 功 能 基 本 有 了 大 致 的 判 断 ， 下 面 我 们 希 望 通 过 动 态 调 试 的 方 式 来 尝 试 将 加 密 的 记 录 文 件 c a c h e s _ v e r s i o n 中 的 内 容 进 行 解 密 。 破 解 记 录 加 密 算 法 破 解 记 录 加 密 算 法 下 一 步 我 们 希 望 通 过 静 态 分 析 + 动 态 调 试 该 d l l 的 方 式 来 破 解 记 录 的 加 密 算 法 。 由 于 它 是 一 个 x 6 4 的 d l l ， 可 使 用 x 6 4 d b g 工 具 来 调 试 （ 可 切 换 至 中 文 ） 。 分 析 发 现 恶 意 d l l 在 d l l 被 加 载 后 ， 在 D l l M a i n C R T S t a r t u p 中 创 建 了 一 个 线 程 ， 该 线 程 为 键 盘 记 录 运 行 的 线 程 。
由 于 新 创 建 的 线 程 是 恶 意 功 能 运 转 的 线 程 ， 应 跳 入 该 线 程 中 进 行 调 试 。 这 里 遇 到 个 小 坑 ， 一 开 始 想 通 过 x 6 4 d b g 跳 入 新 创 建 的 线 程 中 进 行 调 试 ， 在 新 线 程 地 址 设 置 了 软 硬 件 断 点 ， 但 调 试 过 程 中 总 是 异 常 退 出 ， 怀 疑 与 x 6 4 d b g 的 D l l l o a d 6 4 . e x e 有 关 。 所 以 我 自 己 用 V S 2 0 1 0 写 了 一 个 x 6 4 的 e x e 使 用 l o a d l i b r a r y 来 加 载 这 个 恶 意 d l l 。 用 x 6 4 d b g 来 调 试 该 e x e ， 在 d l l 被 l o a d 后 ， 可 在 内 存 模 块 中 找 到 这 个 d l l ， 并 在 d l l 中 搜 索 跨 模 块 调 用 函 数 ， 在 线 程 地 址 处 下 硬 件 断 点 ， 即 可 成 功 跳 入 线 程 中 调 试 。 同 时 ， 可 以 搜 索 当 前 模 块 中 的 所 有 字 符 串 ， 来 找 到 其 记 录 的 路 径 。 或 者 调 试 下 C r e a t e F i l e 也 可 以 。 该 路 径 下 c a c h e s _ v e r s i o n . d b 文 件 就 是 记 录 击 键 结 果 的 加 密 文 件 ， 与 前 期 行 为 监 控 的 结 果 一 致 。 我 们 若 想 还 原 出 加 密 文 件 的 内 容 ， 便 可 以 对 恶 意 程 序 中 调 用 读 写 文 件 函 数 的 上 文 进 行 分 析 。 一 般 都 是 对 信 息 加 密 后 再 写 入 文 件 。 因 此 容 易 找 出 加 密 写 入 文 件 的 函 数 ， s u b _ 1 8 0 0 0 1 8 2 0 ( L P C V O I D   l p B u f f e r ) ， 通 过 F 5 转 换 为 伪 代 码 ， 经 过 分 析 ， 对 伪 代 码 的 功 能 进 行 了 注 释 。
注 意 到 一 个 长 度 为 6 的 字 符 串 ， 而 且 在 代 码 中 为 引 用 了 3 次 ， 后 面 两 次 均 为 生 成 加 密 表 用 。 重 点 看 s u b _ 1 8 0 0 0 2 5 B 0 和 s u b _ 1 8 0 0 0 2 6 B 0 两 个 函 数 （ 在 s u b _ 1 8 0 0 0 1 8 2 0 被 调 用 ） ， 动 态 调 试 下 ， 可 以 发 现 s u b _ 1 8 0 0 0 2 5 B 0 函 数 每 次 生 成 的 东 西 都 是 一 样 的 。 再 分 析 调 试 s u b _ 1 8 0 0 0 2 6 B 0 函 数 。
一 样 的 问 题 ， s u b _ 1 8 0 0 0 2 6 B 0 函 数 中 每 次 生 成 的 变 换 表 也 是 一 成 不 变 的 。 也 就 是 说 我 们 通 过 动 态 调 试 得 到 的 第 2 个 表 总 是 不 变 的 ， 那 么 我 们 就 可 以 直 接 将 其 提 取 出 来 ， 而 不 必 分 析 前 面 生 成 它 的 算 法 ， 大 大 节 省 了 时 间 ！ 然 后 我 从 生 成 完 这 个 表 的 之 后 开 始 调 试 ， 思 路 是 用 C 语 言 来 记 录 各 个 寄 存 器 的 操 作 ， 在 栈 中 被 加 密 和 地 址 和 加 密 用 的 表 可 以 当 作 数 组 处 理 。
最 终 整 理 发 现 ， 所 以 被 加 密 的 字 节 永 远 都 是 异 或 0 x E 7 来 实 现 加 密 。 所 以 解 密 其 记 录 文 件 时 ， 只 要 异 或 一 个 0 x E 7 即 可 。 之 前 看 似 复 杂 的 加 密 过 程 ， 没 想 到 完 全 没 有 加 入 随 机 性 ， 最 终 其 只 不 过 是 简 单 异 或 加 密 而 已 ， 这 应 该 是 攻 击 者 在 设 计 加 密 算 法 时 的 重 大 失 误 。 解 密 后 的 文 件 如 下 图 。 同 时 也 说 明 在 做 加 密 时 ， 一 定 要 增 加 算 法 的 随 机 性 ， 比 如 可 以 根 据 前 一 个 输 入 来 生 成 加 密 的 表 ， 让 前 后 有 关 联 性 。 否 则 只 是 单 字 节 一 对 一 的 加 密 ， 都 可 以 不 分 析 算 法 ， 直 接 试 验 一 些 输 入 再 分 析 下 输 出 即 可 搞 定 ！ （ 比 如 ： 在 分 析 记 录 路 径 时 ， 可 以 使 用 文 件 监 控 程 序 ， 然 后 不 断 敲 击 键 盘 ， 由 于 其 程 序 需 要 不 断 想 某 文 件 中 写 入 数 据 ， 所 以 文 件 监 控 很 容 易 抓 到 这 种 频 繁 的 改 动 ， 从 而 得 出 路 径 。 在 加 密 方 面 ， 可 以 先 判 断 其 是 否 是 单 字 节 一 对 一 变 换 ， 这 种 可 以 通 过 连 续 敲 入 1 0 个 字 母 a ， 1 0 个 字 母 b 来 验 证 ， 如 果 加 密 记 录 结 果 中 有 连 续 出 现 1 0 个 同 样 的 字 节 ， 说 明 其 加 密 很 有 可 能 是 单 字 节 一 对 一 变 换 。 那 么 就 很 容 易 绕 过 其 加 密 算 法 实 现 解 密 。 ） 感 悟 感 悟
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理