搜索

[10714] 2016-11-14_“成人影集”样本分析（下篇）

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-11-14_“成人影集”样本分析（下篇） “ 成 人 影 集 ” 样 本 分 析 （ 下 篇 ） e x p s k y   F r e e B u f   2 0 1 6 - 1 1 - 1 4 声 明 ： 本 文 由 e x p s k y @ M S 5 0 9 T e a m 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 禁 止 将 相 关 技 术 应 用 到 不 当 途 径 。   对 这 个 样 本 进 行 追 踪 分 析 的 过 程 中 ， 发 现 了 至 少 上 千 的 域 名 和 对 这 个 样 本 进 行 追 踪 分 析 的 过 程 中 ， 发 现 了 至 少 上 千 的 域 名 和 I P 与 之 有 关 联 ， 这 个 木 马 影 响 面 不 小 ， 但 样 本 涉 及 到 的 大 马 与 之 有 关 联 ， 这 个 木 马 影 响 面 不 小 ， 但 样 本 涉 及 到 的 大 马 下 载 链 接 ， 以 及 情 报 关 联 到 的 大 马 下 载 链 接 最 近 都 失 效 ， 继 续 分 析 受 阻 下 载 链 接 ， 以 及 情 报 关 联 到 的 大 马 下 载 链 接 最 近 都 失 效 ， 继 续 分 析 受 阻 … 功 夫 不 负 有 心 人 ， 大 马 样 本 还 是 被 找 到 ， 经 过 对 大 马 的 深 入 分 析 后 ， 发 现 背 后 是 一 个 庞 大 的 僵 尸 网 络 ， 活 跃 了 相 当 长 时 间 ， 而 最 近 一 两 个 月 更 是 异 常 活 跃 加 速 传 播 。 大 马 的 功 能 非 常 丰 富 ， 并 继 续 通 过 发 送 包 含 木 马 的 色 情 邮 件 进 行 蠕 虫 式 扩 散 传 播 ， 并 且 运 用 到 了 很 多 加 密 反 调 试 的 手 段 ， 给 逆 向 分 析 带 来 了 很 大 的 难 度 。 该 样 本 的 深 入 分 析 国 内 还 鲜 有 报 道 ， 看 完 下 面 的 样 本 分 析 后 ， 相 信 对 样 本 以 及 此 僵 尸 网 络 都 会 有 个 全 面 的 了 解 。 本 文 侧 重 于 技 术 ， 对 一 些 技 术 要 点 都 进 行 了 标 注 ， 留 心 看 能 学 到 一 些 干 货 （ 但 不 要 用 来 干 坏 事 哦 ） 。 0 × 0 1   V B 外 壳 解 密 外 壳 解 密 s h e l l   c o d e 该 样 本 多 处 用 到 了 动 态 解 密 代 码 后 执 行 ， 所 以 用 静 态 分 析 工 具 看 ， 是 什 么 都 看 不 出 来 的
i d a 里 只 能 看 到 两 个 用 户 的 函 数 ， 另 外 能 看 出 一 个 重 要 信 息 就 是 这 个 样 本 是 用 V B 写 的 。 V B 写 木 马 还 是 比 较 少 见 的 ， 因 为 V B 写 的 木 马 在 灵 活 度 、 功 能 、 木 马 大 小 、 运 行 速 度 等 等 方 面 肯 定 不 是 最 好 的 选 择 。 一 般 人 对 V B 的 逆 向 也 没 有 C + + 的 逆 向 熟 悉 ， 推 测 作 者 目 的 可 能 是 增 大 被 逆 向 的 门 槛 。 继 续 分 析 发 现 ， 其 实 V B 只 是 一 个 外 壳 ， 把 后 续 执 行 的 代 码 解 密 出 来 。 调 试 V B 的 程 序 会 涉 及 到 一 个 重 要 的 A P I 就 是 D l l F u n c t i o n C a l l ， V B 程 序 调 用 所 有 系 统 A P I 都 会 通 过 这 个 函 数 来 实 现 。 但 不 要 被 这 个 A P I 的 名 字 误 导 ， 这 个 函 数 并 没 有 真 正 的 去 调 用 A P I ， 而 只 是 把 A P I 的 地 址 给 取 到 ， 可 以 理 解 为 L o a d L i b r a r y   +   G e t P r o c A d d r e s s ， D l l F u n c t i o n C a l l 有 一 个 参 数 ， 参 数 指 向 一 个 包 含 两 个 字 符 指 针 的 结 构 体 ， 两 个 字 符 指 针 分 别 指 向 D L L 名 和 A P I 名 ， 在 内 部 其 实 就 是 给 L o a d L i b r a r y 和 G e t P r o c A d d r e s s 使 用 。 跟 踪 D l l F u n c t i o n C a l l ， 会 执 行 E n u m C h i l d W i n d o w s ， 参 数 0 x 4 2 1 E 6 5 是 回 调 函 数 ， 这 个 回 调 函 数 就 是 解 密 后 续 代 码 的 函 数 。
解 密 函 数 的 代 码 经 过 了 混 淆 处 理 ， O D 不 能 很 好 的 反 汇 编 ， 这 样 的 汇 编 代 码 明 显 也 不 是 正 常 编 译 出 来 的 。 0 × 0 2   s h e l l   c o d e 执 行 执 行 解 密 完 后 ， 继 续 执 行 刚 解 密 出 来 的 代 码 。 首 先 通 过 B e g i n D e b u g g e d ( P E B + 0 × 2 ) 和 N t G l o b a l F l a g ( P E B + 0 × 6 8 ) 来 进 行 反 调 试 检 测 ， 发 现 在 被 调 试 状 态 就 直 接 终 止 了 。 c p u i d 指 令 检 查 C P U 是 否 满 足 条 件 。 在 这 个 解 密 出 来 的 s h e l l   c o d e 中 可 以 看 到 大 量 j m p + p o p 的 指 令 组 合 ， 跟 踪 执 行 过 程 实 际 上 是 j m p + c a l l + p o p ,   p o p 弹 出 的 是 c a l l 后 面 的 地 址 ， 而 这 个 地 址 其 实 是 一 个 A P I 名 称 。 接 着 会 执 行 c a l l   0 1 C 8 1 8 0 A ， 这 个 函 数 里 面 会 执 行 D l l F u n c t i o n C a l l 取 得 相 应 的 A P I 地 址 并 保 存 下 来 。 其 实 就 是 s h e l l c o d e 获 取 A P I 的 过 程 。 这 样 的 汇 编 代 码 不 是 正 常 编 译 出 来 的 ， 经 过 了 反 调 试 处 理 。
调 用 S e t U n h a n d l e d E x c e p t i o n F i l t e r 设 置 异 常 处 理 函 数 并 自 陷 来 进 行 调 试 器 检 测 。 0 × 0 3   原 始 木 马 执 行 原 始 木 马 执 行 当 执 行 完 解 密 出 来 的 s h e l l c o d e 后 ， 内 存 中 的 V B 壳 代 码 已 经 完 全 没 有 ， 真 正 的 木 马 代 码 才 开 始 执 行 。 木 马 用 到 的 所 有 字 符 常 量 都 是 动 态 解 密 出 来 用 完 后 就 清 除 掉 ， 木 马 会 释 放 自 己 到 % U S E R P R O F I L E % 目 录 下 并 添 加 到 自 启 动 项 中 ， 木 马 的 行 为 很 多 ， 下 面 捡 重 点 的 部 分 介 绍 。 木 马 以 s u s p e n d e d 方 式 创 建 系 统 进 程 s v c h o s t . e x e 将 木 马 的 内 存 镜 像 写 入 到 刚 启 的 远 程 进 程 s v c h o s t 中 （ 写 入 前 后 会 对 线 程 环 境 进 行 保 护 ） ， 然 后 通 过 修 改 s v c h o s t 的 P E B 进 程 环 境 块 + 0 × 8 偏 移 （ I m a g e B a s e A d d r e s s ） 来 改 变 s v c h o s t 进 程 的 加 载 ， 最 后 将 s u s p e n d e d 启 动 的 s v c h o s t 进 程 恢 复 。 此 刻 s v c h o s t . e x e 就 成 为 了 一 个 木 马 傀 儡 进 程 。
完 成 这 样 的 动 作 ， 还 有 不 少 技 术 问 题 需 要 处 理 ： 木 马 的 内 存 镜 像 直 接 写 入 到 s v c h o s t 运 行 ， 还 必 须 处 理 重 定 位 的 问 题 ， 正 常 一 个 P E 文 件 加 载 重 定 位 是 由 系 统 来 完 成 的 ， 而 这 里 木 马 必 须 自 己 来 完 成 远 程 写 入 的 木 马 镜 像 的 重 定 位 工 作 ， 通 过 P E 头 偏 移 0 x A 0   0 x A 4 找 到 重 定 位 表 ， 然 后 完 成 重 定 位 工 作 。 这 样 s v c h o s t . e x e 木 马 傀 儡 进 程 就 可 以 正 常 工 作 了 。 原 始 木 马 的 后 续 功 能 不 会 再 继 续 执 行 ， 只 有 在 s v c h o s t . e x e 的 傀 儡 进 程 中 核 心 功 能 才 会 继 续 得 到 执 行
0 × 0 4   木 马 核 心 配 置 文 件 木 马 核 心 配 置 文 件 木 马 的 核 心 功 能 是 从 C 2 服 务 器 获 取 一 个 很 大 的 配 置 文 件 ， 木 马 的 所 有 功 能 都 在 这 个 配 置 文 件 里 。 这 个 配 置 文 件 分 成 若 干 段 ， 每 段 就 是 一 个 远 程 命 令 ， 相 关 的 远 程 命 令 有 几 十 种 之 多 ， 执 行 每 个 命 令 的 过 程 都 涉 及 到 加 解 密 。 分 析 出 配 置 文 件 的 数 据 结 构 如 下 ： 从 远 程 获 取 的 配 置 文 件 中 有 几 十 个 命 令 ， 上 面 截 图 的 是 s t a r t _ s r v ， 对 应 的 c m d   t y p e 是 1 ， 用 来 随 时 更 新 C C 服 务 器 I P 地 址 。 配 置 文 件 中 比 较 多 的 是 c m d   t y p e 为 7 的 各 种 命 令 ， 这 些 命 令 是 和 发 送 垃 圾 邮 件 有 关 ， 而 邮 件 的 内 容 多 与 色 情 有 关 （ 其 实 没 怎 么 认 那 些 英 文 ， 只 是 发 现 s e x 单 词 出 现 的 比 较 多 ）
另 外 还 看 到 两 个 c m d 命 令 眼 熟 ， 一 个 是   c m d   t y p e : 5   对 应 后 面 会 是 一 个 P E 文 件 ， 可 以 猜 测 木 马 可 以 下 载 执 行 其 他 的 木 马 ：
还 有 一 个 是 c m d   t y p e : 1 5 ， 对 应 的 是 d d o s ， 打 开 被 攻 击 的 网 站 是 和 游 戏 相 关 配 置 文 件 中 包 含 的 一 些 C 2   I P 地 址 ， 情 报 信 息 显 示 都 为 恶 意 ： 1 0 3 . 4 8 . 6 . 1 4 （ 中 国 香 港 ） 4 5 . 1 1 6 . 1 7 5 . 1 5 2 （ 马 来 西 亚 ） 1 2 3 . 2 4 9 . 0 . 2 2 （ 中 国 贵 州 ） 1 0 1 . 5 1 . 2 4 8 . 2 3 1 （ 泰 国 ） 1 1 6 . 1 0 3 . 4 9 . 3 5 （ 越 南 ） 2 0 1 . 1 7 . 2 2 9 . 2 4 1 （ 巴 西 ） 1 7 1 . 2 2 4 . 2 3 0 . 6 5 （ 越 南 ） 1 1 7 . 6 . 2 0 8 . 1 3 5 （ 越 南 ） 1 1 6 . 1 0 5 . 2 0 4 . 4 7 （ 越 南 ） 5 8 . 1 8 7 . 1 9 9 . 2 3 0 （ 越 南 ） 0 × 0 5   木 马 插 件 机 制 动 态 扩 展 功 能 木 马 插 件 机 制 动 态 扩 展 功 能 木 马 还 有 一 个 重 要 的 机 制 就 是 插 件 ， 每 个 插 件 对 应 一 个 d l l 文 件 ， 通 过 插 件 可 以 进 一 步 扩 展 木 马 的 功 能 在 配 置 文 件 中 搜 索 p l g _ 关 键 字
p l g _ s y s   p l g _ s n i f f   p l g _ a n t i b o t   p l g _ w e b b   p l g _ w e b m   p l g _ d d o s   p l g _ l o c s   p l g _ s m p t   p l g _ s p r e a d p l g _ p r o x y   p l g _ m i n e r   p l g _ p r o t e c t   p l g _ t e x t   p l g _ s p r e a d 2   p l g _ b l i s t   p l g _ h o s t 2 从 这 些 插 件 的 名 称 可 以 看 到 ： 比 特 币 挖 矿 、 网 络 嗅 探 、 代 理 服 务 、 比 特 币 挖 矿 、 网 络 嗅 探 、 代 理 服 务 、 d d o s 攻 击 、 自 保 护 、 文 本 记 录 、 攻 击 、 自 保 护 、 文 本 记 录 、 w e b 邮 件 、 传 播 等 等 邮 件 、 传 播 等 等 字 眼 ， 木 马 功 能 非 常 丰 富 。 0 × 0 6   蠕 虫 式 传 播 蠕 虫 式 传 播
通 过 我 们 的 监 测 设 备 发 现 ， 中 马 后 的 机 器 会 不 定 时 向 外 发 送 包 含 了 下 载 者 小 马 的 色 情 邮 件 ， 实 现 蠕 虫 式 的 扩 散 传 播 ： 邮 件 包 含 的 小 马 是 经 过 了 严 重 混 淆 的 J S 代 码 ， 代 码 和 上 篇 中 分 析 的 P D F 样 本 中 J S 代 码 还 不 太 一 样 ， 但 功 能 很 明 确 ： 还 是 从 远 端 服 务 器 下 载 大 马 到 本 地 并 执 行 。 这 里 就 不 再 累 述 0 × 0 7   如 何 清 除 木 马 如 何 清 除 木 马 清 除 自 启 动 注 册 表 项 ： H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n M S C o n f i g   并 删 除 其 指 向 的 8 位 随 机 字 母 命 名 的 文 件 清 除 二 进 制 加 密 配 置 信 息 注 册 表 项 ： H K C U S o f t w a r e M i c r o s o f t D e v i c e C o n t r o l 下 的 所 有 D e v D a t a 开 头 的 注 册 表 项 0 × 0 8   结 尾 结 尾 以 上 并 没 有 记 录 所 有 的 分 析 过 程 ， 一 是 因 为 调 试 过 程 没 有 全 部 做 记 录 （ 木 马 还 有 不 少 对 抗 行 为 ） ； 二 是 由 于 木 马 功 能 太 丰 富 ， 分 析 很 耗 时 间 ， 没 有 一 一 去 做 分 析 。 但 通 过 上 面 的 文 字 ， 对 该 木 马 已 经 能 有 一 个 整 体 的 了 解 。 对 这 个 木 马 的 印 象 就 是 ： 功 能 丰 富 、 弹 性 扩 展 、 蠕 虫 传 播 、 以 及 做 了 很 多 反 调 试 和 加 解 密 功 能 丰 富 、 弹 性 扩 展 、 蠕 虫 传 播 、 以 及 做 了 很 多 反 调 试 和 加 解 密 。 样 本 涉 及 到 的 域 名 和 I P 至 少 上 千 ， 是 一 个 很 大 的 僵 尸 网 络 ， 加 之 木 马 的 高 弹 性 设 计 ： 可 以 更 新 C 2 服 务 器 地 址 、 下 载 其 他 木 马 执 行 、 插 件 扩 展 功 能 机 制 … ， 后 续 危 害 不 可 小 视 。 该 僵 尸 网 络 最 近 两 个 月 异 常 活 跃 ， 加 速 扩 散 ， 需 要 警 惕 。 该 僵 尸 网 络 最 近 两 个 月 异 常 活 跃 ， 加 速 扩 散 ， 需 要 警 惕 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理