搜索

[28194] 2020-03-01_LokiBot模拟了流行的游戏启动器并删除了编译的C＃代码文件

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-03-01_LokiBot模拟了流行的游戏启动器并删除了编译的C＃代码文件 L o k i B o t 模 拟 了 流 行 的 游 戏 启 动 器 并 删 除 了 编 译 的 C ＃ 代 码 文 件 A u g u s t o R e m i l l a n o   O t s 安 全   2 0 2 0 - 0 3 - 0 1 L o k i B o t 具 有 收 集 敏 感 数 据 （ 如 密 码 和 加 密 货 币 信 息 ） 的 能 力 ， 证 明 其 背 后 的 参 与 者 已 投 入 资 金 来 发 展 威 胁 。 过 去 ， 我 们 看 到 过 一 个 利 用 远 程 代 码 执 行 漏 洞 利 用 W i n d o w s   I n s t a l l e r 服 务 提 供 L o k i B o t ， 使 用 I S O 映 像 的 L o k i b o t 变 体 以 及 使 用 隐 写 术 具 有 改 进 的 持 久 性 机 制 的 变 体 的 运 动 。 最 近 ， 我 们 发 现 了 L o k i B o t （ 被 趋 势 科 技 检 测 为 T r o j a n . W i n 3 2 . L O K I ） ， 它 冒 充 了 流 行 的 游 戏 启 动 器 ， 以 诱 骗 用 户 在 其 计 算 机 上 执 行 它 。 进 一 步 的 分 析 表 明 ， 此 变 体 的 示 例 使 用 了 一 个 古 怪 的 安 装 例 程 ， 该 例 程 涉 及 删 除 已 编 译 的 C ＃ 代 码 文 件 。 这 种 不 寻 常 的 L o k i B o t 变 体 使 用 了 “ 交 付 后 编 译 ” 检 测 规 避 技 术 ， 并 被   趋 势 科 技 解 决 方 案 内 置 的 机 器 学 习 检 测 功 能 T r o j . W i n 3 2 . T R X . X X P E 5 0 F F F 0 3 4   主 动 检 测 和 阻 止 。 技 术 分 析 技 术 分 析 感 染 始 于 一 个 文 件 ， 该 文 件 可 能 是 E p i c   G a m e s 商 店 的 安 装 程 序 。 该 伪 造 的 安 装 程 序 是 使 用 N S I S （ N u l l s o f t 脚 本 安 装 系 统 ） 安 装 程 序 创 作 工 具 构 建 的 。 在 此 活 动 中 ， 恶 意 的 N S I S   W i n d o w s 安 装 程 序 使 用 E p i c   G a m e s 的 徽 标 （ F o r t n i t e 等 流 行 游 戏 背 后 的 开 发 公 司 ） 诱 骗 用 户 以 为 它 是 合 法 的 安 装 程 序 。 图 1 . 以 游 戏 安 装 程 序 为 幌 子 的 L o k i B o t 恶 意 软 件 安 装 程 序 的 文 件 图 标 执 行 后 ， 恶 意 软 件 安 装 程 序 会 在 受 影 响 计 算 机 的 “ ％ A p p D a t a ％ 目 录 ” 中 删 除 两 个 文 件 ： C ＃ 源 代 码 文 件 和 . N E T 可 执 行 文 件 。 图 2 . 安 装 程 序 脚 本 的 屏 幕 截 图 对 . N E T 可 执 行 文 件 的 进 一 步 分 析 显 示 ， 文 件 严 重 混 淆 ， 其 中 包 含 大 量 垃 圾 代 码 ， 使 反 向 工 程 更 加 困 难 。
图 3 . 屏 幕 截 图 显 示 了 已 删 除 的 . N E T 可 执 行 文 件 的 主 要 功 能 然 后 ， . N E T 可 执 行 文 件 将 在 受 感 染 的 设 备 中 读 取 并 编 译 删 除 的 C ＃ 代 码 文 件 ， 该 文 件 名 为 “   M A P Z N N s a E a U X r x e K m ” 。 图 4 . 代 码 片 段 的 屏 幕 快 照 显 示 了 可 以 在 二 进 制 文 件 中 找 到 的 部 分 垃 圾 代 码 （ 顶 部 ） ， 以 及 显 示 了 如 何 读 取 和 编 译 已 删 除 的 C ＃ 代 码 文 件 的 代 码 （ 底 部 ） 编 译 C ＃ 代 码 文 件 后 ， 二 进 制 文 件 将 使 用 I n v o k e M e m b e r 函 数 调 用 C ＃ 代 码 文 件 中 存 在 的 E v e n t L e v e l 函 数 。 被 调 用 的 函 数 将 解 密 并 加 载 嵌 入 其 中 的 加 密 汇 编 代 码 。 图 5 . 代 码 截 图 显 示 了 二 进 制 文 件 调 用 E v e n t L e v e l （ ） 函 数
图 6 . 代 码 片 段 显 示 了 如 何 解 密 汇 编 代 码 L o k i B o t 示 例 的 安 装 例 程 结 合 了 两 种 技 术 来 逃 避 检 测 ： 第 一 ， 它 使 用 C ＃ 源 代 码 来 逃 避 仅 针 对 可 执 行 二 进 制 文 件 的 防 御 机 制 。 此 外 ， 它 还 使 用 嵌 入 在 C ＃ 代 码 文 件 中 的 加 密 汇 编 代 码 形 式 的 混 淆 文 件 。 感 染 的 最 后 阶 段 是 执 行 L o k i B o t 有 效 负 载 。 在 野 外 最 活 跃 的 信 息 窃 取 者 中 ， 对 安 装 和 混 淆 机 制 的 这 些 调 整 表 明 ， L o k i B o t 在 不 久 的 将 来 不 会 放 慢 速 度 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理