搜索

[15552] 2020-06-30_TrickBot新组件Nworm分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-30_TrickBot新组件Nworm分析 T r i c k B o t 新 组 件 N w o r m 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 6 - 3 0 T r i c k B o t 于 于 2 0 1 6 年 被 首 次 发 现 ， 其 主 要 目 的 是 窃 取 目 标 主 机 数 据 ， 安 装 恶 意 软 件 后 门 。 年 被 首 次 发 现 ， 其 主 要 目 的 是 窃 取 目 标 主 机 数 据 ， 安 装 恶 意 软 件 后 门 。 T r i c k B o t 拥 有 不 同 的 功 拥 有 不 同 的 功 能 模 块 ， 可 从 受 感 染 的 能 模 块 ， 可 从 受 感 染 的 W i n d o w s 客 户 端 传 感 染 客 户 端 传 感 染 D C 。 在 。 在 2 0 2 0 年 年 4 月 ， 月 ， T r i c k B o t 将 其 传 播 模 块 将 其 传 播 模 块 “ m w o r m ” 更 新 更 新 为 为 “ n w o r m ” 。 。 n w o r m 不 会 在 不 会 在 D C 上 留 下 任 何 痕 迹 ， 服 务 器 重 新 启 动 或 关 闭 后 会 消 失 。 上 留 下 任 何 痕 迹 ， 服 务 器 重 新 启 动 或 关 闭 后 会 消 失 。 新 n w o r m 模 块 主 要 包 括 ： 加 密 可 执 行 文 件 和 网 络 通 信 流 量 （ 旧 m w o r m 模 块 没 有 任 何 类 型 的 加 密 / 编 码 ） T r i c k B o t 感 染 从 R A M 运 行 ， 不 可 持 久 存 在 通 过 R A M 运 行 以 逃 避 受 感 染 D C 的 检 测 本 文 回 顾 了 T r i c k B o t 模 块 ， 并 详 细 地 介 绍 了 新 n w o r m 模 块 的 特 性 。 T r i c k B o t 模 块 模 块 T r i c k B o t 可 以 模 块 化 安 装 运 行 ， 感 染 期 间 可 加 载 各 种 二 进 制 文 件 执 行 不 同 功 能 。 在 大 多 数 情 况 下 ， T r i c k B o t 感 染 的 基 础 是 保 存 在 磁 盘 的 恶 意 W i n d o w s 可 执 行 文 件 （ E X E ） 。 此 E X E 通 常 称 为 “   T r i c k B o t 加 载 程 序 ” ， 可 加 载 T r i c k B o t 模 块 。 T r i c k B o t 模 块 是 从 系 统 内 存 运 行 的 动 态 链 接 库 （ D L L ） 或 E X E 。 在 受 感 染 的 W i n d o w s   1 0 主 机 上 ， T r i c k B o 仅 出 现 在 系 统 内 存 中 。 在 受 感 染 的 W i n d o w s   7 主 机 上 ， 在 磁 盘 中 会 存 储 的 相 关 模 块 。 在 T r i c k B o t 感 染 期 间 ， 加 密 的 二 进 制 文 件 将 作 为 T r i c k B o t 模 块 解 密 并 从 系 统 内 存 中 运 行 。 下 图 显 示 了 2 0 2 0 年 1 月 W i n d o w s   7   T r i c k B o t 模 块 工 件 示 例 。
文 件 名 称 以 6 4 结 尾 ， 说 明 该 主 机 运 行 的 是 W i n d o w s   7   6 4 位 版 本 。 如 果 感 染 发 生 在 3 2 位 W i n d o w s   7 主 机 上 ， 这 些 文 件 名 称 将 以 3 2 而 不 是 6 4 结 尾 。 T r i c k B o t 在 A c t i v e   D i r e c t o r y （ A D ） 环 境 中 扩 展 到 D C 的 三 个 模 块 ： m w o r m D l l 6 4 （ “   m w o r m ” 模 块 ） m s h a r e D l l 6 4 （ “   m s h a r e ” 模 块 ） t a b D l l 6 4 （ “ 标 签 ” 模 块 ） 传 播 模 块 传 播 模 块 具 有 传 播 功 能 的 T r i c k B o t 模 块 为 m w o r m ， m s h a r e 和 t a b ， m s h a r e 和 t a b 模 块 ： 受 感 染 的 W i n d o w s 客 户 端 使 用 H T T P   U R L 检 索 新 的 T r i c k B o t   E X E 受 感 染 的 W i n d o w s 客 户 端 通 过 S M B 将 新 的 T r i c k B o t   E X E 发 送 到 易 受 攻 击 的 D C 对 于 m w o r m 模 块 ： 受 感 染 的 W i n d o w s 客 户 端 对 易 受 攻 击 的 D C 进 行 S M B 攻 击 。 易 受 攻 击 的 D C 使 用 H T T P   U R L 检 索 新 的 T r i c k B o t   E X E 并 感 染 自 身 。 除 非 在 带 有 D C 的 A D 环 境 中 发 生 T r i c k B o t 感 染 ， 否 则 通 常 不 会 显 示 m w o r m 模 块 。 下 图 显 示 了 这 三 个 T r i c k B o t 模 块 的 传 播 流 程 图 ：
自 2 0 2 0 年 2 月 以 来 ， 这 些 模 块 生 成 的 U R L 遵 循 以 下 模 式 ： m s h a r e 模 块 以 / i m a g e s / c u r s o r . p n g 结 尾 m w o r m 模 块 以 / i m a g e s / r e d c a r . p n g 结 尾 t a b 模 块 以 / i m a g e s / i m g p a p e r . p n g 结 尾 这 些 U R L 使 用 I P 地 址 而 不 是 域 。 下 图 显 示 了 2 0 2 0 年 3 月 T r i c k B o t 感 染 流 量 ： 新 模 块 分 析 新 模 块 分 析 2 0 2 0 年 4 月 T r i c k B o t 停 止 使 用 m w o r m 模 块 ， 取 而 代 之 的 是 名 为 “ n w o r m ” 的 模 块 出 现 在 受 感 染 的 W i n d o w s   7 客 户 端 上 。 下 图 显 示 了 这 种 新 的 n w o r m 模 块 ：
n w o r m 的 H T T P 流 量 与 m w o r m 流 量 明 显 不 同 ： m w o r m ： T r i c k B o t   E X E 的 U R L 以 / i m a g e s / r e d c a r . p n g 结 尾 n w o r m ： T r i c k B o t   E X E 的 U R L 以 / i c o / V i d T 6 c E r s 结 尾 m w o r m ： H T T P 流 量 中 T r i c k B o t   E X E 未 加 密 n w o r m ： T r i c k B o t   E X E 会 在 H T T P 流 量 中 加 密 编 码 使 用 W i r e s h a r k 检 查 T C P 流 ， 可 以 发 现 m w o r m 模 块 和 n w o r m 模 块 H T T P 流 差 异 。
下 图 显 示 了 当 前 的 传 播 流 程 ， 突 出 显 示 了 n w o r m 模 块 变 化 ： 不 持 久 性 不 持 久 性 n w o r m 感 染 易 受 攻 击 的 D C 时 ， 恶 意 软 件 将 从 内 存 中 启 动 。 受 感 染 的 D C 上 未 发 现 任 何 攻 击 痕 迹 ， 但 D C 上 的 T r i c k B o t 重 新 后 会 消 失 。 m s h a r e 和 t a b 感 染 易 受 攻 击 的 D C 时 ， D C 重 启 后 仍 然 持 续 存 在 。 对 于 T r i c k B o t 而 言 ， 重 启 后 消 失 并 不 是 急 需 解 决 的 问 题 ， 因 为 D C 是 一 台 服 务 器 ， 服 务 器 很 少 像 W i n d o w s 客 户 端 那 样 关 闭 或 重 新 启 动 。 G t a g 标 识 标 识
每 个 T r i c k B o t 都 有 一 个 g t a g 标 识 符 ， 可 从 T r i c k B o t 二 进 制 文 件 配 置 数 据 中 找 到 。 在 T r i c k B o t 感 染 期 间 ， 也 可 以 在 H T T P 流 量 中 找 到 G t a g 。 G t a g 是 一 个 短 字 母 字 符 串 ， 后 跟 一 个 数 字 表 示 序 列 。 示 例 如 下 ： m o r 系 列 g t a g ： 由 E m o t e t 感 染 引 起 的 T r i c k B o t ， 例 如 ： T r i c k B o t   g t a g   m o r 8 4 是 由 E m o t e t 在 2 0 2 0 年 1 月 2 7 日 感 染 的 。 o n o 系 列 g t a g ： T r i c k B o t 通 过 恶 意 M i c r o s o f t   O f f i c e 文 档 （ 如 W o r d 文 档 或 E x c e l 电 子 表 格 ） 传 播 的 。 r e d 系 列 g t a g ： T r i c k B o t 以 D L L 文 件 而 不 是 E X E 的 形 式 传 播 ， 例 如 ： 2 0 2 0 年 3 月 1 7 日 记 录 的 T r i c k B o t   g t a g r e d 5 。 T r i c k B o t 模 块 使 用 的 T r i c k B o t 二 进 制 文 件 的 G t a g 是 唯 一 的 。 t o t 系 列 g t a g ： m s h a r e 模 块 使 用 的 T r i c k B o t 二 进 制 文 件 j i m 系 列 g t a g ： n w o r m （ 和 旧 的 m w o r m ） 模 块 使 用 的 T r i c k B o t 二 进 制 文 件 l i b 系 列 g t a g ： t a b 模 块 使 用 的 T r i c k B o t 二 进 制 文 件 下 图 显 示 了 2 0 2 0 年 4 月 2 0 日 W i r e s h a r k 中 的 g t a g 。 其 中 W i n d o w s 客 户 端 为 1 0 . 4 . 2 0 . 1 0 1 ， D C 为 1 0 . 4 . 2 0 . 4 。
I O C s H T T P   U R L s 2 0 2 0 - 0 4 - 2 0   –   n w o r m   –   h x x p : / / 1 0 7 . 1 7 2 . 2 2 1 [ . ] 1 0 6 / i c o / V i d T 6 c E r s 2 0 2 0 - 0 4 - 2 0   –   m s h a r e   –   h x x p : / / 1 0 7 . 1 7 2 . 2 2 1 [ . ] 1 0 6 / i m a g e s / c u r s o r . p n g 2 0 2 0 - 0 4 - 2 0   –   t a b   –   h x x p : / / 1 0 7 . 1 7 2 . 2 2 1 [ . ] 1 0 6 / i m a g e s / i m g p a p e r . p n g 2 0 2 0 - 0 5 - 0 8   –   n w o r m   –   h x x p : / / 2 3 . 9 5 . 2 2 7 [ . ] 1 5 9 / i c o / V i d T 6 c E r s 2 0 2 0 - 0 5 - 0 8   –   m s h a r e   –   h x x p : / / 2 3 . 9 5 . 2 2 7 [ . ] 1 5 9 / i m a g e s / c u r s o r . p n g 2 0 2 0 - 0 5 - 0 8   –   t a b   –   h x x p : / / 2 3 . 9 5 . 2 2 7 [ . ] 1 5 9 / i m a g e s / i m g p a p e r . p n g n w o r m D l l 6 4   （ （ W i n d o w s   7   c l i e n t   A p r i l   2 4 t h   2 0 2 0 ） ） 9 0 0 a a 0 2 5 b f 7 7 0 1 0 2 4 2 8 3 5 0 e 5 8 4 e 8 1 1 0 3 4 2 a 7 0 1 5 9 e f 2 f 9 2 a 9 b f d 6 5 1 c 5 d 8 e 5 f 7 6 b n w o r m D l l 6 4 （ （ W i n d o w s   7   c l i e n t   M a y   8 t h   2 0 2 0 ） ） 8 5 d 8 8 1 2 9 e a b 9 4 8 d 4 4 b b 9 9 9 9 7 7 4 8 6 9 4 4 9 a b 6 7 1 b 4 d 1 d f 3 c 5 9 3 7 3 1 1 0 2 5 9 2 c e 9 3 a 7 0 参 考 来 源 参 考 来 源 u n i t 4 2 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理