搜索

[14560] 2019-09-07_钓鱼邮件中的RemcosRAT变种分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-09-07_钓鱼邮件中的RemcosRAT变种分析 钓 鱼 邮 件 中 的 R e m c o s   R A T 变 种 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 9 - 0 7 7 月 份 ， 我 们 发 现 了 一 个 伪 装 成 新 订 单 通 知 的 钓 鱼 邮 件 ， 里 面 带 有 一 个 恶 意 附 件 ， 会 导 致 月 份 ， 我 们 发 现 了 一 个 伪 装 成 新 订 单 通 知 的 钓 鱼 邮 件 ， 里 面 带 有 一 个 恶 意 附 件 ， 会 导 致 R e m c o s   R A T （ 被 （ 被 T r e n d   M i c r o 检 测 为 检 测 为 B K D R _ S O C M E R . S M ） 这 一 恶 意 软 件 的 执 行 。 该 攻 击 方 式 使 用 ） 这 一 恶 意 软 件 的 执 行 。 该 攻 击 方 式 使 用 A u t o I t 对 其 进 行 封 装 和 传 对 其 进 行 封 装 和 传 播 ， 并 且 使 用 了 多 种 混 淆 和 反 调 试 技 术 来 规 避 检 测 。 播 ， 并 且 使 用 了 多 种 混 淆 和 反 调 试 技 术 来 规 避 检 测 。 R e m c o s   R A T 的 出 现 最 早 可 以 追 溯 到 2 0 1 6 年 ， 当 时 在 黑 客 论 坛 里 作 为 一 种 有 偿 服 务 进 行 广 告 和 销 售 ， 曾 经 很 多 网 站 和 论 坛 还 提 供 该 工 具 的 破 解 版 本 。 直 至 今 日 ， R e m c o s 仍 然 是 网 络 罪 犯 们 的 常 用 工 具 并 不 断 推 动 着 其 发 展 。 在 2 0 1 7 年 ， 我 们 发 现 了 一 个 通 过 恶 意 P o w e r P o i n t 幻 灯 片 传 播 R e m c o s 的 样 本 ， 该 样 本 还 内 置 了 编 号 为 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 的 利 用 方 法 。 最 近 ， R e m c o s 又 开 始 使 用 钓 鱼 邮 件 进 行 大 肆 传 播 了 。 钓 鱼 邮 件 背 后 的 恶 意 攻 击 者 使 用 r u d - d i v i s i o n @ a l k u h a i m i [ . ] c o m （ 合 法 域 名 ） 这 个 邮 箱 和 “ R E :   N E W   O R D E R   5 7 3 9 2 3 ” 的 主 题 。 邮 件 中 包 含 的 恶 意 附 件 使 用 A C E 压 缩 的 文 件 格 式 ， “ P u r c h a s e   o r d e r 2 0 1 9 0 0 5 1 2 . a c e ” ， 可 以 通 过 B o o m . e x e 进 行 加 载 和 封 装 。 封 装 器 封 装 器 / 加 载 器 分 析 加 载 器 分 析 可 执 行 文 件 转 换 成 A u t o I t 脚 本 之 后 ， 我 们 发 现 恶 意 代 码 被 多 重 混 淆 保 护 了 ， 有 可 能 是 为 了 规 避 检 测 ， 同 时 增 大 研 究 人 员 对 其 进 行 逆 向 的 难 度 。 最 顶 层 的 混 淆 方 法 如 下 所 示 ： 图 1 混 淆 后 的 关 键 函 数
图 2   去 混 淆 使 用 的 函 数 B o o m . e x e 的 主 要 目 的 是 为 了 实 现 持 续 性 ， 以 及 进 行 反 分 析 检 测 和 在 已 感 染 系 统 种 释 放 / 执 行 R e m c o s   R A T 。 上 面 的 代 码 片 段 首 先 计 算 出 数 组 内 的 值 ， 然 后 使 用 C h r W ( ) 函 数 将 U n i c o d e 数 字 转 化 为 A S C I I 码 字 符 . 图 3   字 符 串 解 码 样 例 在 一 些 情 况 种 ， 该 恶 意 软 件 在 解 密 后 会 使 用 A u t o I t 的 B i n a r y T o S t r i n g ( ) 函 数 对 下 一 层 混 淆 进 行 去 混 淆 。 下 面 的 代 码 片 段 展 示 了 这 一 行 为 ：
图 4   使 用 A u t o I t 函 数 将 二 进 制 解 码 为 字 符 串 去 混 淆 之 后 的 A u t o I t 代 码 种 可 以 看 到 大 量 的 垃 圾 代 码 ， 意 在 分 散 分 析 人 员 的 精 力 。 图 5   垃 圾 代 码 示 例 该 恶 意 软 件 之 后 会 对 自 身 进 行 复 制 ， 复 制 到 % A p p D a t a % R o a m i n g a p p i d a p i U e v T e m p l a t e B a s e l i n e G e n e r a t o r . e x e 下 ， 然 后 从 其 资 源 段 种 加 载 主 要 载 荷 （ R e m c o s   R A T ） 。 该 恶 意 软 件 接 下 来 会 准 备 执 行 主 要 载 荷 的 环 境 ， 通 过 执 行 以 下 S h e l l c o d e 来 实 现 （ f r e n c h y _ s h e l l c o d e   v e r s i o n   1 ）
图 6   F r e n c h y _ S h e l l C o d e _ 0 0 1 图 7   执 行 与 解 码 F r e n c h y   S h e l l c o d e 图 8   F r e n c h y   S h e l l c o d e 变 体 从 资 源 中 解 码 并 加 载 R e m c o s D e c D a t a ( ) 函 数 从 其 资 源 段 中 加 载 数 据 ， 然 后 对 所 有 数 据 进 行 逆 序 ， 并 用 “ / ” 替 换 “ % $ = ” 。 图 9   使 用 A u t o I t 解 码 主 要 载 荷 ： 代 码 + 编 码 过 的 资 源 图 1 0   A u t o I t 解 码 主 要 载 荷 ： 只 有 代 码
然 后 使 用 以 下 代 码 对 P E 文 件 进 行 b a s e 6 4 解 密 ， 该 P E 文 件 即 为 主 要 载 荷 ： 图 1 1   从 A u t o I t 中 解 码 R e m c o s 加 载 器 功 能 加 载 器 功 能 反 虚 拟 机 反 虚 拟 机 该 A u t o I t 加 载 器 能 够 通 过 检 查 正 在 运 行 的 进 程 列 表 中 是 否 包 含 v m t o o l s d . e x e 和 v b o x . e x e 来 检 测 虚 拟 机 环 境 。 但 是 ， 值 得 注 意 的 是 这 一 功 能 在 该 样 本 中 并 未 被 调 用 。 图 1 2   A u t o I t 加 载 器 的 反 虚 拟 机 代 码 U A C 绕 过 绕 过 根 据 W i n d o w s 版 本 ， 该 恶 意 软 件 会 选 择 使 用 内 置 的 E v e n t   V i e w e r 组 件   （ e v e n t v w r ） 或 f o d h e l p e r 来 绕 过 用 户 账 户 控 制 （ U A C ） 。 $ a _ c a l l   =   D l l C a l l ( “ C r y p t 3 2 . d l l ” ,   “ i n t ” ,   “ C r y p t S t r i n g T o B i n a r y ” ,   “ s t r ” ,   $ s D a t a ,   “ i n t ” ,   0 ,   “ i n t ” ,   1 ,   “ p t r ” ,   0 ,   “ p t r ” ,   D l l S t r u c t G e t P t r ( $ s t r u c t ,   1 ) ,   “ p t r ” ,   0 ,   “ p t r ” ,   0 )
图 1 3   U A C 绕 过 反 调 试 反 调 试 如 果 加 载 器 检 测 到 了 系 统 A P I 的 I s d e b u g g e r P r e s e n t 返 回 值 为 1 ， 会 显 示 “ T h i s   i s   a   t h i r d - p a r t y   c o m p i l e d   A u t o I t   s c r i p t . ” 的 消 息 ， 并 退 出 程 序 。 图 1 4   A u t o I t 加 载 器 检 查 调 试 器 是 否 存 在 的 代 码 R e m c o s   R A T 主 要 载 荷 主 要 载 荷 R e m c o s   R A T 本 来 是 作 为 一 个 让 用 户 远 程 控 制 系 统 的 正 规 合 法 的 远 程 访 问 工 具 进 行 销 售 的 ， 但 最 近 却 成 为 了 网 络 罪 犯 的 犯 罪 利 器 。 一 旦 该 R A T 被 执 行 ， 入 侵 者 就 有 能 力 在 用 户 的 系 统 中 执 行 远 程 命 令 。 比 如 ， 在 之 前 的 宣 传 中 ， 就 说 明 该 工 具 具 有 多 功 能 性 的 特 点 ， 包 括 下 载 并 执 行 命 令 ， 键 盘 记 录 ， 屏 幕 记 录 以 及 使 用 摄 像 头 和 麦 克 风 进 行 录 音 录 像 等 功 能 。 为 了 分 析 这 一 载 荷 ， 我 们 研 究 了 R e m c o s   P r o f e s s i o n a l   1 . 7 版 本 的 样 本 。
图 1 5   R e m c o s 版 本 在 执 行 时 ， 该 恶 意 软 件 会 根 据 配 置 生 产 一 份 自 身 的 拷 贝 并 放 在 % A p p D a t a % r e m c o s r e m c o s . e x e 中 ， 使 用 i n s t a l l . b a t 脚 本 在 % A P P D A T A % 目 录 下 执 行 r e m c o s . e x $ ， 最 后 进 行 自 身 删 除 。 之 后 会 在 注 册 表 中 创 建 以 下 R u n 键 值 从 而 保 证 在 系 统 中 持 久 驻 留 。 图 1 6   R e m c o s 释 放 的 I n s t a l l . b a t 图 1 7   R e m c o s   R A T 更 改 注 册 表 项 实 现 驻 留
图 1 8   R e m c o s   R A T 代 码 中 对 注 册 表 的 更 改 该 恶 意 软 件 会 从 其 资 源 段 中 提 取 名 为 “ S E T T I N G ” 的 配 置 。 图 1 9   R e m c o s 从 其 资 源 中 加 载 加 密 配 置 配 置 文 件 的 内 容 使 用 R C 4 加 密 算 法 进 行 加 密 ， 如 下 ：
图 2 0   R e m c o s 加 密 配 置 以 下 是 用 来 解 密 上 述 配 置 的 R C 4 解 密 算 法 ： 图 2 1 解 密 配 置 的 R C 4 算 法 图 2 2   解 密 配 置
之 后 ， 该 恶 意 软 件 会 创 建 以 下 m u t e x 来 标 记 已 在 系 统 中 存 在 ： 图 2 3   R e m c o s   R A T   m u t e x 然 后 ， 开 始 收 集 系 统 信 息 ， 例 如 用 户 名 ， 计 算 机 名 ， W i n d o w s 版 本 等 ， 并 将 这 些 信 息 发 送 到 C & C 服 务 器 。 该 恶 意 软 件 使 用 R C 4 算 法 对 收 集 的 信 息 进 行 加 密 ， 加 密 使 用 的 密 码 “ p a s s ” 也 是 从 配 置 文 件 中 取 得 的 。 图 2 4   R e m c o s 收 集 系 统 信 息 以 下 列 表 展 示 了 该 恶 意 软 件 支 持 的 一 些 命 令 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理