搜索

[15998] 2020-10-22_使用VSCode远程调试恶意Powershell脚本

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2020-10-22_使用VSCode远程调试恶意Powershell脚本 使 用 V S C o d e 远 程 调 试 恶 意 P o w e r s h e l l 脚 本 千 里 目 安 全 实 验 室   F r e e B u f   2 0 2 0 - 1 0 - 2 2 概 述 概 述 在 野 的 P o w e r s h e l l 恶 意 脚 本 总 是 经 过 多 重 混 淆 、 加 密 ， 直 接 静 态 分 析 难 以 得 知 脚 本 具 体 有 什 么 恶 意 行 为 ， 所 以 需 要 对 其 进 行 动 态 调 试 。 目 前 最 常 用 的 P o w e r s h e l l 调 试 器 是 I S E ， 但 I S E 没 有 较 友 好 的 调 试 窗 口 ， 使 得 调 试 脚 本 时 效 率 低 下 ， 下 面 ， 将 介 绍 使 用 V S C o d e 实 现 远 程 调 试 P o w e r s h e l l 脚 本 ， 帮 助 你 提 升 解 密 分 析 P o w e r s h e l l 恶 意 脚 本 的 效 率 。 样 本 获 取 样 本 获 取 本 次 演 示 所 使 用 的 样 本 为 一 个 P o w e r s h e l l 后 门 ， 其 特 点 是 有 多 层 恶 意 代 码 ， 会 从 C & C 服 务 器 多 次 加 载 不 同 p a y l o a d 。 母 体 为 一 个 b a t 脚 本 ， 主 要 功 能 就 是 执 行 一 段 b a s e 6 4 加 密 后 的 P o w e r s h e l l 脚 本 。 解 密 后 的 代 码 ， 正 是 这 个 样 本 的 核 心 代 码 ， 接 下 来 就 开 始 对 其 进 行 调 试 分 析 。
虚 拟 机 环 境 搭 建 虚 拟 机 环 境 搭 建 首 先 虚 拟 机 建 议 使 用 W i n 1 0 ， 因 为 V S C o d e 的 远 程 调 试 功 能 与 W i n 1 0 兼 容 性 更 好 ， 同 时 ， 建 立 远 程 会 话 需 要 将 虚 拟 机 里 的 网 络 类 型 设 置 为 专 用 。 然 后 在 虚 拟 机 里 运 行 ： w i n r m   q u i c k c o n f i g ， 即 可 开 启 W i n d o w s   远 程 管 理 ( W i n R M )   服 务 。
为 了 在 虚 拟 机 里 成 功 运 行 调 试 P o w e r s h e l l 脚 本 ， 还 需 开 放 脚 本 执 行 权 限 s e t - e x e c u t i o n p o l i c y   u n r e s t r i c t e d ， 以 及 关 闭 W i n d o w s   D e f e n d e r 。 本 机 本 机 V S C o d e 环 境 搭 建 环 境 搭 建 远 程 调 试 ， 需 要 安 装 P o w e r s h e l l 插 件 ， 打 开 V S C o d e ， 直 接 在 商 店 搜 索 直 接 安 装 即 可 。 在 P o w e r s h e l l 控 制 台 中 输 入 ： E n t e r - P S S e s s i o n   - C o m p u t e r N a m e   [ 虚 拟 机 i p ]   - C r e d e n t i a l   [ 虚 拟 机 用 户 名 ] ， 敲 入 密 码 ， 即 可 远 程 登 录 到 虚 拟 机 。 然 后 将 待 调 试 的 脚 本 放 入 虚 拟 机 中 ， 输 入 ： p s e d i t   [ 虚 拟 机 中 的 脚 本 路 径 ] ， 加 载 目 标 脚 本 。
远 程 调 试 分 析 远 程 调 试 分 析 在 关 键 代 码 处 下 断 点 ， 按 下 F 5 调 试 便 可 以 运 行 到 断 点 处 ， 右 侧 则 是 变 量 的 值 ， 通 过 调 试 我 们 可 以 得 知 该 段 代 码 的 作 用 是 从 h t t p : / / m i r a n d a . t a t t o o f o r s u r e . c o m : 8 8 8 8 / a d m i n / g e t . p h p 读 取 恶 意 代 码 并 执 行 。 V S C o d e 远 程 调 试 也 支 持 编 辑 脚 本 ， 可 以 新 增 一 行 代 码 ： $ p a y l o a d   =   - J O I n   [ C h A r [ ] ] ( &   $ R   $ D a t a   ( $ I V   +   $ K ) ) ， 将 下 载 的 恶 意 代 码 赋 值 给 $ p a y l o a d ， 便 可 以 从 调 试 窗 口 中 获 取 到 $ p a y l o a d 的 值 了 。
复 制 $ p a y l o a d 的 值 ， 保 存 为 p a y l o a d . p s 1 进 行 调 试 。 发 现 其 结 构 很 简 单 ， 声 明 S t a r t - N E G O t i a t E 函 数 并 进 行 调 用 。 值 得 注 意 的 是 ， 函 数 执 行 需 要 传 入 母 脚 本 的 $ s e r 、 $ u 、 $ h o p 参 数 。 p a y l o a d . p s 1 的 功 能 为 上 传 终 端 的 域 名 、 用 户 名 、 主 机 名 、 I P 、 O S 版 本 以 及 P o w e r s h e l l 版 本 信 息 ， 为 了 绕 过 检 测 ， 其 会 使 用 R C   4 对 上 述 信 息 进 行 加 密 ， 并 在 传 输 之 前 先 上 传 R C   4 秘 钥 。
上 传 的 C & C 地 址 为 h t t p : / / m i r a n d a . t a t t o o f o r s u r e . c o m : 8 8 8 8 / l o g i n / p r o c e s s . p h p ， 上 传 完 毕 后 ， C & C 还 会 返 回 第 二 阶 段 的 p a y l o a d 。 将 第 二 阶 段 的 p a y l o a d 保 存 为 p a y l o a d 2 . p s 1 并 打 开 ， 原 来 就 是 个 函 数 定 义 ， 函 数 名 为 U 5 B S 3 ， 然 后 在 p a y l o a d . p s 1 中 进 行 调 用 。
为 了 方 便 调 试 ， 我 们 直 接 将 U 5 B S 3 函 数 定 义 复 制 到 p a y l o a d . p s 1 中 。 单 步 步 过 ： U 5 B S 3   - S e r v e r s   @ ( ( $ s   - s p l i t   “ / “ ) [ 0 . . 2 ] - j o i n   “ / “ )   - S t a g i n g K e y   $ S K   - S e s s i o n K e y   $ k e y   - S e s s i o n I D   $ I D   - W o r k i n g H o u r s   “ W O R K I N G _ H O U R S _ R E P L A C E ”   - K i l l D a t e   “ R E P L A C E _ K I L L D A T E ”   - P r o x y S e t t i n g s   $ S c r i p t : P r o x y ， 就 能 调 试 进 U 5 B S 3 函 数 内 部 了 。 通 过 搜 索 特 征 代 码 ， 可 以 确 认 这 段 代 码 就 是 开 源 的 E m p i r e 代 码 ， 是 个 P o w e r s h e l l 的 攻 击 框 架 。 这 段 代 码 就 是 核 心 的 后 门 代 码 了 ， 根 据 C & C 服 务 器 下 发 的 指 令 码 ， 执 行 相 对 应 的 恶 意 操 作 ， 这 里 就 不 详 细 分 析 了 。
总 结 总 结 对 于 恶 意 样 本 分 析 ， 都 必 须 在 虚 拟 机 环 境 操 作 ， 所 以 远 程 调 试 是 个 不 错 的 选 择 。 而 V S C o d e 作 为 微 软 开 发 的 脚 本 I D E ， 对 P o w e r s h e l l 远 程 调 试 的 功 能 是 很 完 善 的 ， 大 家 可 以 通 过 V S C o d e 远 程 调 试 功 能 ， 提 升 解 混 淆 分 析 恶 意 P o w e r s h e l l 脚 本 的 效 率 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理