搜索

[28219] 2020-03-13_分析：滥用.NET功能来编译恶意程序

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-03-13_分析：滥用.NET功能来编译恶意程序 分 析 ： 滥 用 . N E T 功 能 来 编 译 恶 意 程 序 原 创   趋 势 科 技   O t s 安 全   2 0 2 0 - 0 3 - 1 3 . N E T 框 架 是 由 M i c r o s o f t 创 建 的 软 件 开 发 框 架 ， 现 在 是 W i n d o w s 的 内 置 组 件 ， 其 中 包 括 使 开 发 人 员 能 够 在 运 行 时 编 译 和 执 行 C ＃ 源 代 码 的 组 件 。 这 使 程 序 无 需 重 启 即 可 更 新 或 加 载 模 块 。 虽 然 . N E T 框 架 最 初 旨 在 帮 助 软 件 工 程 师 ， 但 网 络 犯 罪 分 子 已 经 找 到 了 一 种 滥 用 其 功 能 来 动 态 编 译 和 执 行 恶 意 软 件 的 方 法 。 最 近 ， 我 们 利 用 这 种 技 术 发 现 了 多 种 恶 意 软 件 ， 例 如 L o k i B o t （ 趋 势 科 技 将 其 称 为 T r o j a n . W i n 3 2 . L O K I   ） 。 这 种 特 定 的 L o k i B o t 变 种 伪 装 成 伪 造 的 游 戏 启 动 器 ， 诱 骗 用 户 将 恶 意 软 件 下 载 到 他 们 的 计 算 机 中 ， 并 将 编 译 的 C ＃ 代 码 放 入 系 统 中 。   下 面 的 感 染 流 程 说 明 了 该 技 术 的 实 际 作 用 ： 图 1 .   . N E T 滥 用 感 染 链   认 识 到 这 种 对 . N E T 功 能 的 异 常 滥 用 ， 有 助 于 建 立 针 对 不 断 变 化 的 威 胁 格 局 的 强 大 防 御 。 技 术 分 析 技 术 分 析 当 用 户 在 不 知 不 觉 中 下 载 伪 装 成 合 法 安 装 程 序 的 恶 意 文 件 （ 例 如 L o k i B o t 的 假 游 戏 启 动 器 ） 时 ， 感 染 就 开 始 了 。 我 们 分 析 过 的 其 他 示 例 使 用 的 图 标 和 元 数 据 模 仿 了 F i l e Z i l l a ， F a x T a l k   C o m m u n i c a t o r ， O p e n B u l l e t ， F a c e b o o k   M e s s e n g e r ， M i n i   F T P 等 应 用 程 序 。 这 些 伪 造 的 安 装 程 序 文 件 是 使 用 N S I S （ N u l l s o f t 可 编 写 脚 本 的 安 装 系 统 ） 安 装 程 序 创 作 工 具 打 包 的 。 图 2 . 冒 充 合 法 应 用 程 序 的 恶 意 样 本 文 件 图 标 执 行 后 ， 安 装 程 序 会 将 两 个 文 件 放 入 受 害 者 的 计 算 机 中 ：
对 已 删 除 的 C ＃ 源 代 码 文 件 的 研 究 表 明 ， 其 大 部 分 内 容 都 是 混 淆 的 功 能 和 加 密 的 机 器 代 码 。 在 此 示 例 中 ， 加 密 的 机 器 代 码 存 储 在 E v e n t D a t a 变 量 中 ： 图 3 . 恶 意 C ＃ 源 代 码 的 屏 幕 截 图 我 们 观 察 到 ， 删 除 的 . N E T 可 执 行 文 件 负 责 将 C ＃ 源 代 码 编 译 为 可 执 行 文 件 格 式 。 它 使 用 C S h a r p C o d e P r o v i d e r   （ 一 个 . N E T 框 架 类 ） ， 该 类 允 许 程 序 员 访 问 C ＃ 语 言 编 译 器 。 下 面 的 屏 幕 截 图 显 示 了 恶 意 软 件 如 何 初 始 化 其 编 译 器 。 图 4 . 屏 幕 截 图 显 示 了 C ＃ 编 译 器 的 初 始 化 然 后 ， 它 使 用 C o d e D o m P r o v i d e r 类 将 C ＃ 代 码 编 译 为 动 态 链 接 库 （ D L L ） ， 该 库 是 一 个 二 进 制 文 件 ， 其 中 包 含 其 他 可 执 行 文 件 可 以 使 用 的 功 能 。 图 5 . 屏 幕 截 图 显 示 了 . N E T 可 执 行 文 件 的 读 取 和 编 译 C ＃ 源 代 码 最 后 ， . N E T 可 执 行 文 件 使 用 I n v o k e M e m b e r 来 调 用 已 编 译 D L L 的 主 要 功 能 。 对 于 分 析 的 样 本 （ S H A - 2 5 6 ： a 8 0 5 a d f 8 8 3 9 0 a 0 5 7 4 5 d 9 c f f 6 8 9 1 e 1 a 3 b 4 a c d b 2 0 9 6 a c f 0 8 3 7 1 c c 9 3 a 9 1 5 5 2 3 3 1 4 c ） ， 函 数 名 称 为 “   I S u b C a t e g o r y M e m b e r s h i p E n t r y ” 。 该 功 能 以 其 源 代 码 形 式 显 示 在 图 3 中 。
图 6 . 屏 幕 截 图 显 示 了 . N E T 可 执 行 文 件 的 主 要 功 能 编 译 的 D L L 使 用 的 函 数 名 称 也 是 在 合 法 M i c r o s o f t 库 中 找 到 的 类 的 名 称 ， 例 如 “   I S u b C a t e g o r y M e m b e r s h i p E n t r y ” 或 “ T a s k S c h e d u l e r E x c e p t i o n ”   。 “ 可 能 是 通 过 这 种 方 式 设 计 的 ， 以 隐 藏 D L L 执 行 程 序 的 目 光 ， 并 欺 骗 恶 意 软 件 分 析 人 员 ， 并 可 能 阻 止 他 们 完 全 分 析 文 件 。 编 译 后 的 D L L 包 含 反 混 淆 和 解 密 其 内 容 所 需 的 指 令 ， 最 终 能 够 将 其 解 密 后 的 内 容 作 为 另 一 个 . N E T 可 执 行 文 件 加 载 。 这 导 致 有 效 载 荷 的 安 装 ， 这 是 感 染 链 的 下 一 个 阶 段 。 以 下 屏 幕 快 照 显 示 了 “   i n g o d w e t r u s t   *   . e x e ” 的 运 行 过 程 ， 该 过 程 是 我 们 分 析 过 的 示 例 之 一 的 后 门 有 效 负 载 ： 图 7 . 屏 幕 截 图 显 示 了 “   i n g o d w e t r u s t   * ” 后 门 的 执 行 和 恶 意 脚 本 的 w s c r i p t 执 行 此 可 执 行 文 件 与 w s c r i p t . e x e 一 起 运 行 ， 而 w s c r i p t . e x e 又 运 行 一 个 阻 止 系 统 进 入 睡 眠 模 式 的 脚 本 。 该 脚 本 和 后 门 程 序 的 组 合 使 恶 意 参 与 者 始 终 可 以 使 用 该 系 统 。 我 们 调 查 的 其 他 样 本 还 包 含 一 个 特 洛 伊 木 马 间 谍 有 效 负 载 ， 该 负 载 在 受 感 染 机 器 的 后 台 静 默 运 行 。 木 马 间 谍 不 断 收 集 受 害 者 信 息 ， 并 通 过 命 令 和 控 制 （ C ＆ C ） 服 务 器 发 送 该 信 息 。 结 论 结 论 网 络 犯 罪 分 子 正 在 不 断 加 强 他 们 的 防 御 规 避 技 术 。 以 其 源 代 码 形 式 使 用 恶 意 软 件 有 助 于 其 尝 试 避 免 被 现 代 安 全 控 件 检 测 到 。 通 过 滥 用 . N E T 框 架 的 内 置 功 能 ， 它 们 能 够 编 译 和 执 行 恶 意 C ＃ 源 代 码 ， 这 是 完 成 感 染 链 的 一 种 非 常 规 方 式 。   在 野 外 看 到 这 种 技 术 表 明 ， 更 多 的 恶 意 行 为 者 正 在 使 用 类 似 的 技 术 ， 滥 用 系 统 固 有 的 合 法 程 序 来 进 行 攻 击 。 建 议 和 趋 势 科 技 解 决 方 案 建 议 和 趋 势 科 技 解 决 方 案 交 付 后 编 译 技 术 无 法 通 过 预 防 性 控 制 轻 松 缓 解 ， 因 为 它 是 基 于 对 M i c r o s o f t   W i n d o w s 内 置 功 能 的 滥 用 。 用 户 可 以 按 照 以 下 安 全 建 议 来 防 御 这 种 威 胁 以 及 类 似 类 型 的 恶 意 软 件 ： 避 免 访 问 可 疑 或 未 知 的 U R L 。 避 免 下 载 破 解 的 应 用 程 序 ， 因 为 它 们 可 能 与 恶 意 软 件 捆 绑 在 一 起 。 除 非 您 确 定 软 件 或 应 用 程 序 的 创 建 者 ， 否 则 请 勿 授 权 下 载 或 安 装 软 件 。 仅 从 官 方 网 站 下 载 软 件 或 应 用 程 序 。 警 惕 社 交 威 胁 。 此 外 ， 用 户 和 组 织 可 以 受 益 于 采 用 主 动 阻 止 出 现 的 和 未 知 的 安 全 风 险 的 安 全 解 决 方 案 ， 例 如 趋 势 科 技 的 预 测 性 机 器 学 习 模 块 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理