搜索

[15596] 2020-07-12_QBot恶意软件深度解析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-12_QBot恶意软件深度解析 Q B o t 恶 意 软 件 深 度 解 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 7 - 1 2 Q B o t 也 称 为 也 称 为 Q a k B o t ， 已 经 活 跃 了 很 多 年 。 它 最 初 被 称 为 金 融 恶 意 软 件 ， 旨 在 窃 取 用 户 凭 据 和 键 盘 记 录 来 对 政 ， 已 经 活 跃 了 很 多 年 。 它 最 初 被 称 为 金 融 恶 意 软 件 ， 旨 在 窃 取 用 户 凭 据 和 键 盘 记 录 来 对 政 府 和 企 业 进 行 金 融 欺 诈 。 近 期 在 野 捕 获 的 府 和 企 业 进 行 金 融 欺 诈 。 近 期 在 野 捕 获 的 O f f i c e   W o r d 文 档 中 发 现 文 档 中 发 现 Q B o t 变 体 ， 但 未 发 现 其 传 播 方 式 。 本 文 将 分 变 体 ， 但 未 发 现 其 传 播 方 式 。 本 文 将 分 析 它 在 受 害 者 机 器 上 的 工 作 方 式 及 其 使 用 的 技 术 。 析 它 在 受 害 者 机 器 上 的 工 作 方 式 及 其 使 用 的 技 术 。 Q B o t 文 档 文 档 W o r d 文 档 中 包 含 一 个 恶 意 宏 ， 打 开 文 件 后 将 要 求 受 害 者 单 击 黄 色 按 钮 ， 如 图 1 . 1 （ 左 侧 ） 所 示 。 右 侧 的 图 像 显 示 了 单 击 “ 启 用 内 容 ” 按 钮 后 的 内 容 ，   它 让 受 害 者 误 以 为 文 档 正 在 努 加 载 数 据 。 实 际 情 况 是 恶 意 宏 （ V B A 代 码 ） 在 后 台 执 行 ， 并 调 用 D o c u m e n t _ O p e n 函 数 ， 在 “ C : U s e r s P u b l i c ” 中 创 建 “ t m p d i r ” 文 件 夹 。 然 后 将 Q B o t 有 效 负 载 下 载 到 此 文 件 夹 中 。 攻 击 者 将 Q B o t 有 效 负 载 文 件 放 在 五 个 位 置 ： h x x p : / / p i c k a p [ . ] i o / w p - c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 [ . ] p n g h x x p : / / d e c o n s [ . ] v n / w p - c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 [ . ] p n g h x x p : / / e c o n s p i r a c y [ . ] s e / e v o l v i n g / 8 8 8 8 8 8 [ . ] p n g h x x p : / / e n l i g h t e n e d - e d u c a t i o n [ . ] c o m / w p c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 [ . ] p n g h x x p : / / k s l a n r u n g [ . ] c o m / e v o l v i n g / 8 8 8 8 8 8 [ . ] p n g 使 用 P o w e r S h e l l 从 五 个 B a s e 6 4 编 码 的 字 符 串 中 解 码 U R L 。 P o w e r S h e l l 代 码 在 循 环 中 选 择 五 个 U R L 之 一 ， 将 有 效 载 荷 文 件 8 8 8 8 8 8 . p n g （ E X E 文 件 ） 下 载 到 “   C : U s e r s P u b l i c t m p d i r ” 中 。 然 后 将 其 重 命 名 为 “   f i l e   *   . e x e ” ， 并 最 终 执 行 。
执 行 执 行 P a y l o a d “   f i l e 1 . e x e ” 是 受 保 护 的 有 效 负 载 ，   启 动 时 将 Q B o t 提 取 到 内 存 中 并 执 行 。 Q B o t 提 供 了 一 些 命 令 行 参 数 ， 例 如 “ / C ” , “ / W ” ,   “ / I ” ,   “ / P ” ,   “ / Q ” 等 ， 执 行 不 同 的 功 能 。 当 由 P o w e r S h e l l 启 动 时 不 提 供 任 何 参 数 ， 它 会 转 到 非 参 数 分 支 ， 该 分 支 首 先 使 用 命 令 行 参 数 “   / C ” 生 成 自 身 子 进 程 。 “ / C ” 功 能 用 于 检 查 它 是 否 在 分 析 环 境 中 运 行 。 以 下 是 检 测 方 式 ： 1 、 使 用 关 键 字 “   V M X h ” 执 行 A S M 代 码 ， 如 果 在 虚 拟 机 中 将 触 发 异 常 。 异 常 处 理 程 序 可 以 捕 获 异 常 并 返 回 1 ， 否 则 返 回 0 。 下 面 是 A S M 代 码 段 。 [ … ] . t e x t : 0 0 4 0 3 4 5 2                                   p u s h         e b x . t e x t : 0 0 4 0 3 4 5 3                                   p u s h         e c x . t e x t : 0 0 4 0 3 4 5 4                                   p u s h         e d x . t e x t : 0 0 4 0 3 4 5 5                                   m o v           d x ,   5 6 5 8 h . t e x t : 0 0 4 0 3 4 5 9                                   m o v           e c x ,   5 6 4 D 5 8 6 8 h     ; ;   " V M X h " . . t e x t : 0 0 4 0 3 4 5 E                                   m o v           e a x ,   e c x . t e x t : 0 0 4 0 3 4 6 0                                   m o v           e c x ,   1 4 h . t e x t : 0 0 4 0 3 4 6 5                                   i n             e a x ,   d x . t e x t : 0 0 4 0 3 4 6 6                                   m o v           [ e b p + v a r _ 1 C ] ,   e a x . t e x t : 0 0 4 0 3 4 6 9                                   p o p           e d x
2 、 调 用 A P I 函 数 S e t u p D i E n u m D e v i c e I n f o 枚 举 设 备 信 息 来 检 查 它 是 否 在 虚 拟 机 环 境 中 运 行 。 它 检 查 设 备 信 息 是 否 包 含 以 下 文 本 ， 例 如 “   V M w a r e ” ， “   V i r t u a l B o x ” ， “   C w S a n d b o x ” ， “   R e d   H a t   V i r t u a l i z a t i o n ” ， “ Q E M U ” 等 等 。 “ V M w a r e   P o i n t i n g ” ,   “ V M w a r e   A c c e l e r a t e d ” ,   “ V M w a r e   S C S I ” ,   “ V M w a r e   S V G A ” ,   “ V M w a r e   R e p l a y ” , “ V M w a r e   s e r v e r   m e m o r y ” ,   “ C W S a n d b o x ” ,   “ V i r t u a l   H D ” ,   “ Q E M U ” ,   “ R e d   H a t   V i r t I O ” ,   “ s r o o t k i t ” ,   “ V M w a r e V M a u d i o ” ,   “ V M w a r e   V i s t a ” ,   “ V B o x V i d e o ” ,   “ V B o x G u e s t ” ,   “ v m x n e t ” ,   “ v m s c s i ” ,   “ V M A U D I O ” ,   “ v m d e b u g ” , “ v m 3 d m p ” ,   “ v m r a w d s k ” ,   “ v m x _ s v g a ” ,   “ a n s f l t r ” ,   “ s b t i s h t ” 3 、 它 检 查 是 否 运 行 了 任 何 分 析 工 具 ， 例 如 “   V M w a r e   T o o l s   S e r v i c e ” ， “   V M w a r e   A c t i v a t i o n   H e l p e r ” ， “ M e t a s p l o i t   M e t s v c   B a c k d o o r ” 和 “   W i n d u m p ” ， 其 进 程 名 称 分 别 为 “   v m t o o l s d . e x e ” ， “   v m a c t h l p . e x e ”   ， “ m e t s v c - s e r v e r . e x e ” 和 “   w i n d u m p . e x e ” 。 4 、 它 检 查 是 否 加 载 特 殊 D l l 文 件 以 及 当 前 进 程 名 称 是 否 包 含 “   s a m p l e ” ， “   m l w r _ s m p l ” 或 “   a r t i f a c t . e x e ” 来 确 定 当 前 进 程 是 否 正 在 “   S a n d b o x i e ” 中 运 行 。 5 、 除 上 述 方 法 外 ， 它 还 通 过 调 用 A S M 指 令 c p u i d 来 检 查 C P U 信 息 。 当 它 检 测 到 Q B o t 在 分 析 设 备 中 运 行 时 不 会 立 即 退 出 ， 它 会 转 到 另 一 个 代 码 分 支 ， 在 其 中 执 行 一 些 无 关 的 操 作 。 如 果 它 不 在 分 析 设 备 中 运 行 ， 它 将 继 续 在 “ ％ A p p D a t a ％   M i c r o s o f t   ” 文 件 夹 下 创 建 一 个 主 文 件 夹 ， 保 存 Q B o t 过 程 和 数 据 。 主 文 件 夹 的 名 称 是 随 机 生 成 的 ， 然 后 它 将 f i l e 1 . e x e 复 制 到 主 文 件 夹 中 ， 并 将 其 重 命 名 为 “   m a v r i h v u . e x e ” ， 文 件 名 是 根 据 受 害 者 的 用 户 名 生 成 的 。 在 此 代 码 分 支 中 ， 它 将 继 续 从 当 前 进 程 中 加 载 名 为 “ 3 0 7 ” 的 资 源 ， 这 是 Q B o t 的 核 心 模 块 。 如 果 它 检 测 到 存 在 于 分 析 设 备 中 ， “ 3 0 7 ” 将 解 密 失 败 ， 并 不 会 发 出 错 误 警 报 。 “ 3 0 7 ” 的 内 容 是 加 密 的 P E 文 件 ， 它 并 没 有 真 正 加 载 核 心 模 块 “ 3 0 7 ” 来 执 行 工 作 ， 它 从 解 密 的 “ 3 0 7 ” 模 块 加 载 另 一 个 名 为 “ 3 0 8 ” 的 资 源 。 . t e x t : 0 0 4 0 3 4 6 A                                   p o p           e c x [ … ]
如 上 图 所 示 ， “ 1 0   =   s p x 9 7 ” 中 的 “   s p x 9 7 ” 是 Q B o t 的 变 量 标 识 ， 3   =   1 5 8 6 9 7 1 7 6 9 是 u n i x 时 间 ， 资 源 “   3 0 7 ” 的 创 建 时 间   。 然 后 它 创 建 一 个 名 为 “   m a v r i h v u . d a t ” 的 文 件 保 存 加 密 的 配 置 数 据 。 以 下 是 加 密 前 的 内 容 。 前 1 4 个 字 节 是 S H A 1 值 ， 1 1   =   2 记 录 硬 盘 驱 动 器 类 型 ， 1   =   2 2 . 4 1 . 5 7 - 1 5   /   0 5 / 2 0 2 0 是 在 受 害 者 设 备 上 安 装 Q B o t 的 时 间 和 日 期 ，   2   =   1 5 8 9 6 0 7 7 1 7 是 U n i x 安 装 时 间 。 m a v r i h v u . d a t 文 件 将 在 以 后 频 繁 使 用 ， 加 载 和 保 存 Q B o t 的 其 他 配 置 数 据 。 还 会 创 建 一 个 W M I （ W i n d o w s 管 理 规 范 ） 对 象 ， 执 行 不 带 参 数 的 “ ％ A p p D a t a ％   M i c r o s o f t     V h d k t r b e e x   m a v r i h v u . e x e ” 。 使 用 W M I 命 名 空 间 “   R O O T     C I M V 2 ” 调 用 C o n n e c t S e r v e r   A P I ， 使 用 “   W i n 3 2 _ P r o c e s s ” 调 用 C o S e t P r o x y B l a n k e t 和 G e t O b j e c t 。 最 后 调 用 P u t 执 行 “ % A p p D a t a % M i c r o s o f t V h d k t r b e e x m a v r i h v u . e x e ” 和 E x e c M e t h o d 来 运 行 它 。 图 2 . 4 显 示 了 如 何 调 用 P u t 和 E x e c M e t h o d ：
使 用 W M I 运 行 Q B o t 是 比 直 接 调 用 C r e a t e P r o c e s s 来 保 护 进 程 更 好 。 W M I 由 W i n d o w s 进 程 “ w m i p r v s e . e x e ” 处 理 ， 该 进 程 随 后 执 行 m a v r i h v u . e x e 。   “ f i l e 1 . e x e ” 在 任 务 计 划 中 创 建 任 务 ， “ C : W i n d o w s s y s t e m 3 2 s c h t a s k s . e x e   / C r e a t e   / R U   ” N T A U T H O R I T Y S Y S T E M ”   / t n   q y u o e f l y q   / t r   ” C : U s e r s P u b l i c t m p d i r f i l e 1 . e x e ”   / I   q y u o e f l y q   / S C   O N C E   / Z   / S T 2 2 : 4 8   / E T   2 3 : 0 0 ” ” 。 创 建 的 任 务 名 称 为 “   q y u o e f l y q ” ， 它 将 执 行 “   C : U s e r s P u b l i c t m p d i r f i l e 1 . e x e   / I   q y u o e f l y q ” .   “ / I q y u o e f l y q ” ， “   /   I   q y u o e f l y q ” 是 命 令 行 参 数 ， 代 码 会 将 “   f i l e 1 . e x e ” 的 内 容 替 换 为 “   c a l c . e x e ” ，   销 毁 “   f i l e . e x e ” ， 然 后 删 除 “ q y u o e f l y q ” 一 次 性 运 行 任 务 。 图 2 . 6 显 示 “ / I ” 代 码 分 支 中 调 用 A P I   C r e a t e P r o c e s s W 替 换 “ f i l e 1 . e x e ” 内 容 ：
在 E x p l o r e r . e x e 中 执 行 Q B o t 在 “ e x p l o r e r . e x e ” 中 运 行 的 代 码 主 要 任 务 是 加 载 和 解 密 资 源 “ 3 0 7 ” 。 它 调 用 F i n d R e s o u r c e A ( ) ,   S i z e o f R e s o u r c e ( ) , L o a d R e s o u r c e ( ) 将 资 源 “ 3 0 7 ” 加 载 到 内 存 中 ， 然 后 通 过 调 用 R * * 函 数 解 密 “ 3 0 7 ” 数 据 。 转 储 并 分 析 P E 文 件 ， 发 现 它 是 一 个 D l l 文 件 （ Q B o t 的 核 心 模 块 ） 。 它 包 含 核 心 模 块 使 用 的 三 个 资 源 “   3 0 8 ” ， “   3 1 0 ” 和 “   3 1 1 ” 。 . 图 4 . 2 显 示 了 P E 分 析 工 具 中 转 储 的 三 个 资 源 。 它 通 过 调 用 A P I   V i r t u a l A l l o c a t e 将 每 个 部 分 从 “   3 0 7 ”   P E 结 构 加 载 到 新 分 配 的 内 存 中 。 然 后 修 复 重 定 位 数 据 并 导 入 必 要 的 A P I ， 使 核 心 模 块 可 以 在 “   e x p l o r e r . e x e ” 中 执 行 。 完 成 上 述 步 骤 后 调 用 核 心 模 块 的 入 口 点 。
总 结 总 结 本 报 告 第 一 部 分 中 详 细 说 明 了 O f f i c e   W o r d 文 档 如 何 通 过 恶 意 宏 下 载 Q B o t 变 体 ， 以 及 它 如 何 使 用 复 杂 的 技 术 隐 藏 和 保 护 自 己 。 Q B o t 几 乎 每 天 都 不 断 升 级 其 有 效 负 载 文 件 ， 研 究 人 员 将 继 续 跟 踪 并 分 析 其 最 新 操 作 。 I O C s : U R L s h x x p : / / p i c k a p [ . ] i o / w p - c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 . p n g h x x p : / / d e c o n s [ . ] v n / w p - c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 . p n g h x x p : / / e c o n s p i r a c y [ . ] s e / e v o l v i n g / 8 8 8 8 8 8 . p n g h x x p : / / e n l i g h t e n e d - e d u c a t i o n [ . ] c o m / w p - c o n t e n t / u p l o a d s / 2 0 2 0 / 0 4 / e v o l v i n g / 8 8 8 8 8 8 . p n g h x x p : / / k s l a n r u n g [ . ] c o m / e v o l v i n g / 8 8 8 8 8 8 . p n g S a m p l e   S H A - 2 5 6 [ O r i g i n a l   W o r d   D o c u m e n t ] 4 3 2 B 6 D 7 6 7 5 3 9 F D 5 0 6 5 5 9 3 B 1 6 0 1 2 8 A A 7 D C E 2 7 1 7 9 9 A D 2 0 8 8 A 8 2 A 1 6 5 4 2 E 3 7 A D 9 2 B 0 [ f i l e 1 . e x e   o r   8 8 8 8 8 8 . p n g ] D 3 B 3 8 6 8 1 D B C 8 7 0 4 9 0 2 2 A 3 F 3 3 C 9 8 8 8 D 5 3 7 1 3 E 1 4 4 A 2 7 7 A 7 B 8 2 5 C F 8 D 9 6 2 8 B 9 C A 8 9 8 参 考 来 源 ： 参 考 来 源 ： h t t p s : / / w w w . f o r t i n e t . c o m / b l o g / t h r e a t - r e s e a r c h / d e e p - a n a l y s i s - o f - a - q b o t - c a m p a i g n - p a r t - 1 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理