搜索

[10557] 2016-09-29_解包分析攻击越南机场和其它组织机构的间谍程序

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2016-09-29_解包分析攻击越南机场和其它组织机构的间谍程序 解 包 分 析 攻 击 越 南 机 场 和 其 它 组 织 机 构 的 间 谍 程 序 c l o u d s   F r e e B u f   2 0 1 6 - 0 9 - 2 9 根 据 我 们 接 触 到 了 前 期 入 侵 越 南 组 织 机 构 的 间 谍 程 序 捕 获 样 本 ， 入 侵 活 动 涉 及 根 据 我 们 接 触 到 了 前 期 入 侵 越 南 组 织 机 构 的 间 谍 程 序 捕 获 样 本 ， 入 侵 活 动 涉 及 7 月 底 对 越 南 两 大 机 场 的 攻 击 事 件 ， 攻 击 中 使 月 底 对 越 南 两 大 机 场 的 攻 击 事 件 ， 攻 击 中 使 用 的 恶 意 软 件 用 于 用 的 恶 意 软 件 用 于 窃 取 越 南 航 空 公 司 窃 取 越 南 航 空 公 司 4 0 万 会 员 信 息 万 会 员 信 息 。 。 这 些 入 侵 活 动 中 使 用 的 攻 击 载 荷 是 伪 装 成 杀 毒 软 件 M c A f e e 的 K o r p l u g   R A T 变 种 。 本 文 描 述 了 从 隐 藏 软 件 中 提 取 最 终 攻 击 载 荷 的 过 程 。 1   分 析 样 本 分 析 样 本 8 8 4 d 4 6 c 0 1 c 7 6 2 a d 6 d d d 2 7 5 9 f d 9 2 1 b f 7 1       –   M c A f e e . e x e c 5 2 4 6 4 e 9 d f 8 b 3 d 0 8 f c 6 1 2 a 0 f 1 1 f e 5 3 b 2           -   M c U t i l . d l l （ s h e l l c o d e   l o a d e r ) 2 8 f 1 5 1 a e 7 f 6 7 3 c 0 c f 3 6 9 1 5 0 e 0 d 4 4 e 4 1 5         –   M c U t i l . d l l . m c   ( s h e l l c o d e ) 3 2 1 a 2 f 0 a b e 4 7 9 7 7 d 5 c 8 6 6 3 b d 7 a 7 c 7 d 2 8     -     u n p a c k e d   p a y l o a d   ( D L L ) 执 行 流 程 ： 执 行 流 程 ： M c A f e e . e x e   - >   M c U t i l . d l l   - >   M c U t i l . d l l . m c   - >   p a y l o a d   ( D L L ) 2   间 谍 软 件 包 间 谍 软 件 包 该 程 序 是 一 个 非 常 有 意 思 的 模 块 化 软 件 包 。 它 整 体 伪 装 成 M c A f e e 杀 毒 软 件 ： 其 签 名 信 息 显 示 为 M c A f e e 原 始 的 有 效 签 名 证 书 ：
这 个 签 名 证 书 当 然 不 是 假 的 ， 因 为 M c A f e e . e x e 确 实 是 一 个 合 法 程 序 ， 但 是 ， 却 被 捆 绑 了 恶 意 的 D L L 动 态 链 接 库 文 件 ， 攻 击 者 正 是 利 用 了 这 点 进 行 程 序 劫 持 。 攻 击 中 使 用 的 M c A f e e 程 序 为 老 版 本 程 序 （ 编 译 时 间 为 2 0 0 8 年 ） ， 经 测 试 ， 当 前 版 本 的 M c A f e e 程 序 不 存 在 此 类 滥 用 隐 患 。 3   行 为 分 析 行 为 分 析 成 功 植 入 后 ， 程 序 潜 伏 在 受 害 者 系 统 中 隐 蔽 执 行 。 经 分 析 发 现 ， 恶 意 代 码 注 入 了 系 统 正 常 进 程 s v c h o s t . e x e ， 程 序 主 体 启 动 时 将 会 运 行 s v c h o s t . e x e 进 程 。 从 s v c h o s t . e x e 当 前 进 程 的 详 细 信 息 中 可 以 发 现 ， 其 进 程 镜 像 目 录 包 含 恶 意 程 序 目 录 。 恶 意 程 序 生 成 的 b o t 类 线 程 从 低 到 高 枚 举 本 地 地 址 空 间 ， 对 局 域 网 内 其 它 主 机 进 行 侦 察 探 测 ： 同 时 还 尝 试 与 远 程 C & C 地 址 ( a i r . d s c v n . o r g ） 进 行 通 信 连 接 ， 在 我 们 的 分 析 测 试 中 ， 该 C & C 地 址 已 经 失 效 ：
4   解 包 分 析 解 包 分 析 恶 意 程 序 在 实 现 最 终 功 能 之 前 包 含 多 层 载 体 ， e x e 文 件 以 及 D L L 文 件 都 是 正 常 的 ， 关 键 的 恶 意 功 能 在 于 包 含 有 加 密 s h e l l c o d e 的 外 部 捆 绑 文 件 ， 而 在 s h e l l c o d e 中 隐 藏 的 是 执 行 核 心 间 谍 进 程 的 D L L 文 件 。 s h e l l c o d e 加 载 加 载 为 了 达 到 反 调 试 分 析 目 的 ， 攻 击 者 混 淆 加 载 有 效 载 荷 的 方 式 非 常 具 有 技 巧 性 。 M c A f e e . e x e 一 旦 执 行 ， 恶 意 程 序 就 会 在 系 统 启 动 目 录 中 加 载 名 为 M c U t i l . d l l 的 动 态 库 文 件 ， 由 于 系 统 不 对 恶 意 程 序 整 体 进 行 完 整 性 检 查 ， 所 以 执 行 程 序 可 以 加 载 任 意 D L L 文 件 ： M c U t i l . d l l 被 用 来 部 署 下 一 阶 段 文 件 ： M c U t i l . d l l . m c 。 为 了 避 免 分 析 跟 踪 ， M c U t i l . d l l 不 会 直 接 释 放 文 件 ， 而 是 使 用 p a t c h 方 式 调 用 M c A f e e . e x e 读 取 加 载 。 下 图 为 向 内 存 写 入 钩 子 加 载 程 序 的 相 关 代 码 片 段 ： 以 下 为 p a t c h 之 后 的 程 序 调 用 代 码 ， 前 两 行 为 直 接 跳 转 到 M c U t i l . d l l 地 址 的 命 令 ：
M c U t i l . d l l 主 体 中 包 含 P a t c h 函 数 ， 并 且 在 处 于 动 态 调 用 之 后 ， 所 以 ， 钩 子 程 序 加 载 调 用 返 回 之 后 便 会 立 即 执 行 。 钩 子 程 序 调 用 的 外 部 文 件 是 可 见 的 ： 当 执 行 写 入 内 存 之 后 ， 便 发 生 了 J N Z 跳 转 ： 提 取 提 取 p a y l o a d 恶 意 程 序 的 s h e l l c o d e 被 进 行 了 复 杂 的 混 淆 ： 重 点 不 在 于 此 ， 而 在 于 该 恶 意 程 序 的 解 包 器 和 加 载 器 ， 加 载 器 把 以 下 内 容 压 缩 到 一 段 缓 冲 区 内 ：
之 后 逐 块 重 新 映 射 这 些 内 容 ， 并 为 其 分 配 附 加 内 存 ， 另 外 ， 在 向 虚 拟 镜 像 重 新 映 射 初 始 P E 文 件 的 过 程 中 ， 也 可 以 看 到 类 似 情 况 。 实 际 上 ， 反 编 译 后 的 解 包 内 容 为 一 个 头 部 经 过 变 形 的 P E 可 执 行 程 序 ， 其 中 P E 程 序 原 始 值 ” M Z ” 被 分 隔 符 X V 代 替 ： 通 过 重 构 文 件 头 之 后 还 原 了 e x e 文 件 ：
文 件 解 析 为 一 个 正 常 的 P E 文 件 3 2 1 a 2 f 0 a b e 4 7 9 7 7 d 5 c 8 6 6 3 b d 7 a 7 c 7 d 2 8 ， 虽 然 程 序 名 节 都 没 有 命 名 ， 但 所 有 内 容 有 效 ： 文 件 特 征 表 现 了 D L L 形 式 的 p a y l o a d ， 由 于 文 件 没 有 任 何 导 出 列 表 ， 所 以 不 知 道 它 的 原 始 名 称 。 观 察 以 下 加 载 的 导 入 部 分 ， 我 们 可 以 确 定 其 为 最 终 攻 击 载 荷 ， 它 加 载 和 调 用 了 很 多 网 络 通 信 函 数 。 例 如 ： 在 对 该 程 序 进 行 行 为 分 析 期 间 ， 我 们 还 找 到 了 其 执 行 局 域 网 主 机 I P 扫 描 的 代 码 。 攻 击 者 为 了 能 让 攻 击 载 荷 隐 秘 执 行 ， 对 所 有 调 用 部 分 进 行 了 执 行 顺 序 检 查 ， 以 下 为 对 主 要 调 用 部 分 进 行 检 查 的 硬 编 码 名 称 ： 5   总 结 总 结 该 恶 意 程 序 使 用 M c A f e e 程 序 劫 持 D L L 文 件 并 运 行 恶 意 代 码 ， 为 了 逃 避 检 测 ， 还 把 各 部 分 模 块 进 行 了 混 淆 ， 单 一 的 文 件 模 块 不 具 备 恶 意 行 为 ， 也 不 能 被 杀 毒 软 件 查 杀 ， 只 有 所 有 部 分 综 合 执 行 之 后 才 能 发 挥 恶 意 行 为 功 能 。 这 种 类 型 的 恶 意 程 序 ， 其 E X E 或 D L L 文 件 只 用 来 加 载 s h e l l c o d e ， 并 不 包 含 恶 意 代 码 ， 虽 然 用 户 对 P E 文 件 的 运 行 比 较 谨 慎 ， 但 是 这 一 次 ， 可 能 就 会 比 较 倒 霉 。 附 录 ： 附 录 ：
越 南 C E R T 机 构 对 越 南 航 空 公 司 被 黑 客 攻 击 的 通 报 内 容 2 0 1 3 年 类 似 的 攻 击 事 件 K o r p l u g   R A T 攻 击 阿 富 汗 和 塔 吉 克 斯 坦 B l a c k H a t 上 关 于 K o r p l u g   R A T 的 分 析 关 于 N a n H a i S h u   A P T * 本 文 译 者 ： c l o u d s ， 编 译 来 源 ： M a l w a r e B y t e s ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理