搜索

[28308] 2020-05-20_QNodeService：利用Covid-19进行传播Node.js木马

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-19
2020-05-20_QNodeService：利用Covid-19进行传播Node.js木马 Q N o d e S e r v i c e ： 利 用 C o v i d - 1 9 进 行 传 播 N o d e . j s 木 马 M a t t h e w   S t e w a r t   O t s 安 全   2 0 2 0 - 0 5 - 2 0 我 们 最 近 注 意 到 M a l w a r e H u n t e r T e a m   在 T w i t t e r 上 发 布 的 帖 子 显 示 J a v a 下 载 器 的 检 测 率 较 低 。 其 名 称 为 “ 由 于 C o v i d - 1 9 爆 发 C I   + P L . j a r 而 导 致 的 公 司 P L P _ T a x 减 免 ” ， 表 明 它 可 能 已 用 于 以 C o v i d - 1 9 为 主 题 的 网 络 钓 鱼 活 动 。 运 行 该 文 件 导 致 下 载 了 一 个 用 N o d e . j s 编 写 的 ， 未 检 测 到 的 新 恶 意 软 件 样 本 。 该 木 马 被 称 为 “   Q N o d e S e r v i c e ” 。 对 于 编 写 商 品 恶 意 软 件 的 恶 意 软 件 作 者 来 说 ， 使 用 N o d e . j s 是 不 寻 常 的 选 择 ， 因 为 它 主 要 是 为 W e b 服 务 器 开 发 而 设 计 的 ， 并 且 不 会 预 先 安 装 在 可 能 成 为 目 标 的 机 器 上 。 但 是 ， 使 用 不 常 见 的 平 台 可 能 有 助 于 逃 避 防 病 毒 软 件 的 检 测 。 该 恶 意 软 件 具 有 使 其 能 够 下 载 / 上 传 / 执 行 文 件 ， 从 C h r o m e   /   F i r e f o x 浏 览 器 窃 取 凭 据 以 及 执 行 文 件 管 理 等 功 能 。 它 针 对 W i n d o w s 系 统 ， 但 是 其 设 计 和 某 些 代 码 段 表 明 跨 平 台 兼 容 性 可 能 是 未 来 的 目 标 。 感 染 始 于 J a v a 下 载 器 ， 该 J a v a 下 载 器 除 了 下 载 N o d e . j s 外 ， 还 下 载 以 下 文 件 ： “   w i z a r d . j s ” 和 “   q n o d e j s - w i n 3 2 - i a 3 2 . j s ” 或 “   q n o d e j s - w i n 3 2 - x 6 4 . j s ” 。 我 们 分 析 了 这 些 组 件 以 了 解 有 关 它 们 行 为 的 更 多 信 息 。 J a v a 下 载 器 分 析 上 面 提 到 的 样 本 “ 由 于 C o v i d - 1 9 爆 发 C I   +   P L . j a r 而 导 致 的 P L P _ T a x 公 司 减 免 ” ， 用 作 J a v a 下 载 程 序 ， 已 被 A l l a t o r i 混 淆 器 混 淆 了 。 A l l a t o r i 添 加 垃 圾 代 码 并 混 淆 字 符 串 ， 使 分 析 更 加 困 难 。 我 们 对 代 码 进 行 了 模 糊 处 理 ， 以 便 能 够 开 始 分 析 。 图 1 . 样 本 的 反 编 译 代 码 （ 被 A l l a t o r i 混 淆 器 混 淆 ）
图 2 . 样 本 的 反 混 淆 代 码 它 将 N o d e . j s 下 载 到 U s e r   P r o f i l e 目 录 。 它 检 查 系 统 体 系 结 构 并 适 当 下 载 3 2 位 或 6 4 位 版 本 。 图 3 . 用 于 将 N o d e . j s 下 载 到 用 户 目 录 的 代 码 片 段 它 还 从 U R L   h x x p s ： / / c e n t r a l . q h u b . q u a . o n e / s c r i p t s / w i z a r d . j s 下 载 名 为 “   w i z a r d . j s ” 的 文 件 。 然 后 ， 它 使 用 带 有 多 个 命 令 行 参 数 （ 包 括 C ＆ C 服 务 器 的 U R L ） 的 N o d e . j s 运 行 此 文 件 ： 图 4 .   N o d e . j s 运 行 的 w i z a r d . j s 请 注 意 ， “   –   g r o u p   u s e r ： 4 7 6   @   q h u b - s u b s c r i p t i o n   [ … ] ” 是 在 与 C ＆ C 服 务 器 通 信 期 间 使 用 的 参 数 ； 用 户 标 识 符 的 出 现 和 “ 订 阅 ” 的 出 现 表 明 该 恶 意 软 件 可 以 作 为 订 阅 服 务 出 售 。 向 导 分 析 向 导 分 析 该 W i z a r d . j s 文 件 是 一 个 模 糊 的 J a v a s c r i p t （ N o d e . j s ） 文 件 。 它 负 责 持 久 性 （ 通 过 创 建 “ 运 行 ” 注 册 表 项 ） ， 并 负 责 根 据 系 统 体 系 结 构 下 载 另 一 个 有 效 负 载 。 它 创 建 一 个 名 为 “   q n o d e j s -   < 8 位 十 六 进 制 数 字 >   . c m d ” 的 文 件 ， 其 中 包 含 用 于 启 动 该 文 件 的 参 数 。 这 由 它 在 “   H K C U  
S O F T W A R E     M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     R u n ” 中 创 建 的 注 册 表 项 条 目 调 用 。 它 还 检 查 它 是 否 在 W i n d o w s 平 台 上 运 行 ， 这 表 明 作 者 可 能 会 考 虑 跨 平 台 兼 容 性 。 图 5 .   W i z a r d . j s 检 查 它 是 否 在 W i n d o w s 上 运 行 ， 并 安 装 “ 运 行 ” 注 册 表 项 图 6 . 由 w i z a r d . j s 添 加 的 注 册 表 “ 运 行 ” 项 它 从 h x x p s ： / / c e n t r a l . q h u b . q u a . o n e / s c r i p t s / q n o d e j s -   < p l a t f o r m > - < a r c h >   . j s 下 载 文 件 。 根 据 N o d e . j s 中 p r o c e s s . p l a t f o r m 和 p r o c e s s . a r c h 的 可 能 值 ， 我 们 找 到 服 务 器 上 托 管 的 文 件 q n o d e j s - w i n 3 2 - i a 3 2 . j s 和 q n o d e j s - w i n 3 2 - x 6 4 . j s 。 该 服 务 器 还 为 每 个 样 本 包 含 S H A 1 哈 希 ， 尽 管 它 们 被 命 名 为 . s h a 2 5 6 。 这 些 哈 希 将 在 运 行 时 由 下 载 的 样 本 下 载 并 检 查 。 图 7 . 使 用 p r o c e s s . p l a t f o r m 和 p r o c e s s . a r c h 确 定 要 下 载 的 有 效 负 载 q n o d e j s - w i n 3 2 -   < a r c h i t e c t u r e >   . j s 的 分 析 根 据 系 统 架 构 （ 操 作 系 统 是 6 4 位 还 是 3 2 位 ） 下 载 名 为 q n o d e j s - w i n 3 2 - i a 3 2 . j s 或 q n o d e j s - w i n 3 2 - x 6 4 . j s 的 文 件 。 这 些 文 件 包 含 一 个 嵌 入 式 的 “   n o d e _ m o d u l e s ” 文 件 夹 ， 其 中 包 含 N o d e . j s 的 库 ， 该 库 在 执 行 时 提 取 。 与 J a v a 代 码 本 身 不 同 ， 这 些 库 是 特 定 于 体 系 结 构 的 ， 这 就 是 基 于 系 统 体 系 结 构 分 发 单 独 文 件 的 原 因 。 以 下 屏 幕 截 图 基 于 2 0 2 0 - 0 4 - 3 0 的 “   w i n 3 2 - i a 3 2 ” 变 体 。 图 8 . 代 码 内 部 使 用 的 名 称 “   Q N o d e S e r v i c e ” 恶 意 软 件 分 为 模 块 。 使 用 名 为 “   v ” 的 查 找 功 能 会 混 淆 对 这 些 模 块 的 访 问 。 一 些 模 块 仅 包 含 对 导 入 库 的 “   r e q u i r e ” 调 用 ， 而 其 他 模 块 则 是 作 者 编 写 的 自 定 义 模 块 。 我 们 将 此 恶 意 软 件 命 名 为 “   Q N o d e S e r v i c e ” ， 因 为 这 似 乎 是 内 部 使 用 的 名 称 ， 如 验 证 命 令 行 参 数 的 代 码 所 示 。
图 9 . 恶 意 软 件 使 用 的 模 块 图 1 0 . 带 有 查 找 功 能 “   v ” 的 索 引 引 用 模 块 该 文 件 中 的 某 些 模 块 与 W i z a r d . j s 相 同 ； 特 别 是 ， 这 些 方 法 重 用 了 确 定 样 本 U R L 及 其 哈 希 值 的 代 码 。 在 此 文 件 中 ， 该 模 块 用 于 下 载 和 验 证 S H A 1 哈 希 。 如 果 哈 希 失 败 ， 则 恶 意 软 件 终 止 。 该 恶 意 软 件 使 用 s o c k e t . i o 库 与 C ＆ C 服 务 器 进 行 通 信 。 因 此 ， 它 采 用 反 应 式 编 程 范 例 进 行 设 计 ， 并 使 用 W e b S o c k e t 与 服 务 器 进 行 通 信 。 图 1 1 .   W e b S o c k e t 握 手 该 恶 意 软 件 可 以 从 C h r o m e 和 F i r e f o x 窃 取 密 码 。
图 1 2 . 用 于 从 C h r o m e 和 F i r e f o x 窃 取 密 码 的 代 码 段 以 下 是 恶 意 软 件 接 受 的 命 令 列 表 ： 命 令 命 令 描 述 描 述 控 制 / 重 装 指 示 W i z a r d . j s 重 新 下 载 主 要 有 效 负 载 。 控 制 / 卸 载 指 示 W i z a r d . j s 从 系 统 中 删 除 “ 运 行 ” 键 条 目 并 终 止 。 信 息 / 获 取 I P 地 址 获 取 I P 地 址 ， 位 置 ， 主 机 名 等 。 信 息 / 获 取 标 签 返 回 由 “   s e t - l a b e l ” 命 令 设 置 的 标 签 信 息 / 获 取 机 器 的 u u i d 获 取 由 恶 意 软 件 生 成 的 U U I D 。 信 息 / 获 取 操 作 系 统 名 称 获 取 系 统 的 平 台 （ w i n d o w s ） 和 体 系 结 构 （ x 3 2   /   x 6 4 ） 。 信 息 / 获 取 用 户 主 页 获 取 用 户 配 置 文 件 目 录 （ o s . h o m e d i r （ ） ） 信 息 / 设 置 标 签 设 置 标 签 文 件 管 理 器 / 绝 对 获 取 文 件 的 完 整 路 径 文 件 管 理 器 / 执 行 使 用 命 令 “   s t a r t ” “   /   B   < f i l e > ” 执 行 文 件
文 件 管 理 器 / 删 除 删 除 系 统 上 的 一 个 或 多 个 文 件 （ 使 用 “   r i m r a f ” 库 接 受 g l o b ） 文 件 管 理 器 / 转 发 访 问 生 成 U R L 和 令 牌 以 用 于 “   h t t p 转 发 ” 命 令 （ 请 参 见 下 文 ） 文 件 管 理 器 / 列 表 列 出 特 定 目 录 中 的 文 件 文 件 管 理 器 /   m k d i r s 在 系 统 上 创 建 目 录 文 件 管 理 器 / 写 入 将 C ＆ C 服 务 器 发 送 的 文 件 写 入 系 统 h t t p 转 发 发 送 到 C ＆ C 上 特 定 U R L 的 H T T P 请 求 被 路 由 到 受 感 染 的 计 算 机 （ 请 参 见 下 文 ） 密 码 恢 复 / 应 用 程 序 列 出 可 以 读 取 密 码 的 应 用 程 序 （ C h r o m e 和 F i r e f o x ） 密 码 恢 复 / 恢 复 从 特 定 应 用 程 序 （ C h r o m e 或 F i r e f o x ） 中 恢 复 密 码   5 月 5   日 ， 该 恶 意 软 件 使 用 三 个 附 加 命 令 进 行 了 更 新 ： 信 息 / 获 取 标 签 返 回 由 “   a d d - t a g ” 命 令 设 置 的 标 签 列 表 信 息 / 添 加 标 签 添 加 标 签 信 息 / 删 除 标 签 删 除 标 签 需 要 特 别 注 意 的 是 h t t p - f o r w a r d 命 令 ， 它 使 攻 击 者 无 需 直 接 连 接 到 受 害 机 器 即 可 下 载 文 件 ， 如 下 图 1 3 - 1 6 所 示 。 但 是 ， 访 问 计 算 机 上 的 文 件 需 要 有 效 的 请 求 路 径 和 访 问 令 牌 。 C ＆ C 服 务 器 必 须 首 先 发 送 “   f i l e - m a n a g e r   /   f o r w a r d - a c c e s s ” 以 生 成 U R L 和 访 问 令 牌 ， 以 便 稍 后 用 于 h t t p - f o r w a r d 命 令 。 图 1 3 .   C ＆ C 服 务 器 通 过 W e b S o c k e t 发 送 “ 文 件 管 理 器 / 转 发 访 问 ” 命 令 图 1 4 . 恶 意 软 件 以 图 1 5 中 的 c U R L 请 求 中 使 用 的 访 问 令 牌 和 U R L 进 行 响 应 恶 意 软 件 使 用 转 发 U R L 和 访 问 令 牌 进 行 响 应 。 然 后 ， 获 得 了 U R L 和 访 问 令 牌 的 第 三 方 可 以 向 C ＆ C 服 务 器 发 送 H T T P 请 求 ， 以 从 受 害 机 器 中 检 索 文 件 ， 而 无 需 直 接 连 接 到 该 机 器 。 图 1 5 . 到 C ＆ C 服 务 器 的 H T T P   c U R L 请 求 ， 请 求 “   C ：   f o o . t x t ” （ 内 容 为 “   b a r ” ） C ＆ C 服 务 器 使 用 h t t p - f o r w a r d 命 令 将 H T T P 请 求 转 发 到 受 害 计 算 机 上 的 恶 意 软 件 。 如 果 访 问 令 牌 正 确 ， 则 恶 意 软 件 会 将 文 件 的 内 容 发 送 回 C ＆ C 服 务 器 ， 后 者 再 通 过 H T T P 响 应 将 内 容 发 送 回 攻 击 者 ， 从 而 实 现 远 程 下 载 。
图 1 6 .   C ＆ C 服 务 器 使 用 “   h t t p - f o r w a r d ” 命 令 将 c U R L 请 求 转 发 到 受 害 计 算 机 上 的 恶 意 软 件 与 w i z a r d . j s 类 似 ， 作 者 似 乎 在 考 虑 跨 平 台 兼 容 性 。 尽 管 此 示 例 是 w i n 3 2 - i a 3 2 变 体 ， 但 它 包 含 的 代 码 可 改 善 D a r w i n （ M a c O S ） 和 L i n u x 平 台 上 的 兼 容 性 。 O t s 网 络 安 全 管 家   -   建 议 威 胁 行 动 者 不 断 提 出 巧 妙 的 方 法 来 创 建 恶 意 软 件 ， 并 确 保 其 尽 可 能 长 时 间 地 影 响 尽 可 能 多 的 系 统 ， 例 如 ， 使 用 较 少 用 于 恶 意 软 件 创 建 的 环 境 ， 保 持 持 久 性 并 为 它 们 提 供 跨 平 台 兼 容 性 。 为 了 抵 御 此 类 恶 意 软 件 ， 用 户 可 以 通 过 以 下 安 全 解 决 方 案 阻 止 他 们 通 过 可 能 的 入 口 点 ， 例 如 电 子 邮 件 ， 端 点 和 网 络 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理