搜索

[10102] 2016-05-15_JS编写的银行木马是怎样的存在？一起逆向来看看

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-05-15_JS编写的银行木马是怎样的存在？一起逆向来看看 J S 编 写 的 银 行 木 马 是 怎 样 的 存 在 ？ 一 起 逆 向 来 看 看 老 王 隔 壁 的 白 帽 子   F r e e B u f   2 0 1 6 - 0 5 - 1 5 G o o t k i t — — 在 一 些 地 方 也 被 称 为 在 一 些 地 方 也 被 称 为 X s w k i t   ， 是 一 款 几 乎 完 全 用 ， 是 一 款 几 乎 完 全 用 J a v a S c r i p t 编 写 的 银 行 恶 意 软 件 。 在 这 篇 博 客 ， 我 们 将 逆 编 写 的 银 行 恶 意 软 件 。 在 这 篇 博 客 ， 我 们 将 逆 向 向 该 该 恶 意 软 件 ， 解 密 其 恶 意 软 件 ， 解 密 其 w e b i n j e c t 配 置 文 件 （ 配 置 文 件 （ 该 该 文 件 中 包 含 的 文 件 中 包 含 的 更 多 代 码 指 令 指 明 其 攻 击 更 多 代 码 指 令 指 明 其 攻 击 目 标 和 如 何 进 一 步 攻 击 ） 。 目 标 和 如 何 进 一 步 攻 击 ） 。 在 被 感 染 的 计 算 机 上 发 现 的 G o o t k i t 是 一 个 相 对 较 小 的 加 载 器 ， 一 个 W i n d o w s 可 执 行 文 件 ， 在 执 行 虚 拟 机 检 测 后 ， 将 下 载 和 恶 意 代 码 绑 定 的 N o d e . j s 引 擎 。 恶 意 软 件 的 这 部 分 是 比 较 大 ， 大 小 几 乎 达 到 5 M B 。 J a v a S c r i p t 的 内 部 代 码 隐 藏 的 很 好 ， 通 过 R C 4 算 法 加 密 。 因 此 ， 开 始 分 析 其 中 一 个 加 载 器 样 本 （ M D 5   b 2 9 0 8 9 6 6 9 c 4 4 4 c b d b 6 2 d 8 9 b f 0 e 3 c 9 e f 8 ） 。   成 功 脱 壳 后 ， 我 们 应 该 来 到 了 地 址 4 0 4 0 C 7 入 口 点 ： 接 下 来 我 们 发 现 是 一 个 A p l i b 解 压 缩 程 序 。 注 意 检 查 头 部 “ A P 3 2 ” D W O R D ， 按 照 l i t t l e - e n d i a n 顺 序 ：
在 这 个 地 址 处 设 置 断 点 并 d u m p 解 压 的 缓 冲 区 的 内 容 ， 我 们 发 现 另 一 个 嵌 入 的 微 小 的 可 执 行 文 件 ， 这 个 文 件 稍 后 将 被 注 入 到 e x p l o r e r . e x e 中 。 这 个 二 进 制 文 件 包 含 了 一 些 有 关 V M 检 测 的 可 疑 的 字 符 串 ：   这 里 发 现 一 件 有 趣 的 事 ， 它 可 以 通 过 一 个 环 境 变 量 来 控 制 。 恶 意 软 件 作 者 必 须 为 自 己 预 留 此 功 能 方 便 自 己 测 试 ， 但 我 们 可 以 从 中 获 得 很 多 东 西 ： 我 们 在 这 里 看 到 检 查 的 环 境 变 量 是 ” c r a c k m e ” ， 接 着 计 算 校 验 和 ， 如 果 它 匹 配 到 某 一 个 值 ， 将 跳 过 的 V M 检 测 。 校 验 和 是 已 知 C R C 3 2 算 法 的 变 种 。 破 解 它 不 需 要 很 长 时 间 ， “ a H z k x c ' 是 G o o t k i t 接 收 的 值 。 该 恶 意 软 件 使 用 由 C ＆ C 服 务 器 检 查 的 硬 编 码 用 户 代 理 。 其 中 ， 有 效 载 荷 的 下 载 网 址 ： h x x p s ： / / l o v e m e a t i n g . s p a c e ： 8 0   /   r b o d y 3 2 0 （ 其 目 的 尚 不 得 而 知 ）
h x x p s ： / / l o v e m e a t i n g . s p a c e ： 8 0   /   r p e r s i s t 2   /   5 6 0 8 0 2 5 8 （ 可 能 是 持 久 性 模 块 ） h x x p s ： / / l o v e m e a t i n g . s p a c e ： 8 0   /   r b o d y 3 2 （ 核 心 ） 它 采 用 8 0 端 口 进 行 H T T P S 连 接 通 信 。 这 些 有 效 载 荷 通 过 A P I 函 数   R t l D e c o m p r e s s B u f f e r 解 压 。 下 面 我 们 将 注 意 力 集 中 在 解 压 缩 的 D L L “ r b o d y 3 2 ” （ M D 5   d 1 7 f 9 9 e a b 2 d 8 c 6 f 3 e b 7 b 7 f 2 5 b 7 6 3 1 9 7 6 ） ， 大 约 5 M B ！ 在 大 小 上 和 上 述 的 N o d e . j s 加 载 器 差 不 多 。 我 们 可 以 观 察 到 这 看 起 来 像 嵌 入 的 J a v a S c r i p t 文 件 ： 这 些 记 录 包 含 偏 移 值 和 每 个 的 脚 本 文 件 的 大 小 信 息 。 在 下 表 文 件 中 可 以 找 到 嵌 入 脚 本 的 完 整 列 表 。   有 一 点 需 要 注 意 的 是 ， 在 这 些 脚 本 我 们 通 常 可 以 发 现 函 数 调 用 都 与 操 作 系 统 有 关 ， 不 构 成 本 地 N o d e . j s 引 擎 的 一 部 分 ， 比 如 像 W i n d o w s 注 册 表 操 作 ， 进 程 注 入 ， 或 h o o k ， 这 些 都 是 当 今 银 行 恶 意 软 件 以 欺 骗 网 络 浏 览 器 至 关 重 要 的 部 分 。 因 此 ， 这 些 功 能 已 经 在 C   + + 中 实 现 ， 通 过 一 个 接 口 ， 使 他 们 可 以 在 J a v a S c r i p t 中 使 用 。 好 吧 ， 单 刀 直 入 。 在 哪 里 存 储 w e b i n j e c t s 呢 ？   在 ' c l i e n t _ p r o t o _ s p y w a r e . j s “ 中 ， 我 们 可 以 找 到 注 册 表 项 相 关 值 ：   检 查 注 册 表 项 ， 我 们 可 以 看 到 加 密 的 二 进 制 内 容 ：
在 脚 本 中 跟 踪 这 个 值 ， 我 们 发 现 一 个 名 为 “ e n c r y p t D e c r y p t （ ） ” 的 引 用 。 但 是 ， 我 们 似 乎 无 法 找 到 它 的 实 现 过 程 。 当 然 ， 要 记 住 ： 恶 意 软 件 的 某 些 部 分 使 用 C + + 实 现 的 。 看 看 r b o d y 3 2 我 们 可 以 发 现 解 密 过 程 原 来 是 一 个 相 当 简 单 的 X O R 以 及 一 些 除 法 和 乘 法 ： 在 S 2 1 s e c 上 我 们 已 经 收 集 到 G o o t k i t 的 众 多 样 本 ， 我 们 已 经 观 察 到 的 是 ， 这 种 威 胁 最 严 重 的 国 家 是 法 国 和 意 大 利 ， 其 中 包 括 兴 业 ， B A N Q U E 人 民 银 行 ， 乐 里 昂 信 贷 银 行 ， 法 国 巴 黎 银 行 等 等 。 * 参 考 来 源 ： s e c u r i t y b l o g   ， F B 小 编 老 王 隔 壁 的 白 帽 子 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理