搜索

[11941] 2017-10-27_新型僵尸网络：WonderBotnet深入分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-10-27_新型僵尸网络：WonderBotnet深入分析 新 型 僵 尸 网 络 ： W o n d e r   B o t n e t 深 入 分 析 J i n g l e C a t s   F r e e B u f   2 0 1 7 - 1 0 - 2 7 C S E   C y b S e c   Z - L a b 恶 意 软 件 实 验 室 在 调 查 暗 网 恶 意 代 码 时 发 现 了 一 个 名 为 恶 意 软 件 实 验 室 在 调 查 暗 网 恶 意 代 码 时 发 现 了 一 个 名 为 W o n d e r   b o t n e t 的 新 僵 尸 网 络 ， 该 恶 的 新 僵 尸 网 络 ， 该 恶 意 软 件 由 意 软 件 由 D o w n l o a d e r 和 真 正 的 和 真 正 的 B o t 两 部 分 组 成 ， 通 过 一 些 规 避 技 术 躲 避 检 测 分 析 ， 隐 藏 自 己 的 恶 意 行 为 。 两 部 分 组 成 ， 通 过 一 些 规 避 技 术 躲 避 检 测 分 析 ， 隐 藏 自 己 的 恶 意 行 为 。 一 、 概 述 一 、 概 述 在 调 查 暗 网 恶 意 代 码 时 ， Z L a b 研 究 员 发 现 了 “ N e t f l i x A c c o u n t G e n e r a t o r . e x e ” ， 这 个 标 榜 可 以 免 费 创 建 一 个 N e t f l i x 服 务 的 高 级 账 户 ， 但 下 载 安 装 之 后 它 并 没 有 这 样 做 ， 而 是 安 装 了 一 个 B O T 。 恶 意 软 件 的 研 究 人 员 分 析 这 个 e x e 文 件 ， 了 解 到 该 威 胁 程 序 首 次 上 传 在 9 月 2 0   日 ， 可 能 是 该 程 序 编 写 者 为 了 测 试 它 的 隐 藏 能 力 。 该 恶 意 程 序 为 一 个 活 僵 尸 网 络 ， 研 究 人 员 称 之 为 W o n d e r   b o t n e t   ， 其 命 令 和 控 制 服 务 隐 藏 在 一 个 网 站 后 面 ， 这 个 网 站 为 另 一 个 网 站 的 镜 像 。 图 1   左 图 为 虚 假 页 面 ， 右 图 为 原 始 页 面 研 究 人 员 证 实 虚 假 的 页 面 上 “ s u p p o r t . c o m ” 的 链 接 为 “ w i k n e t . w i k a b a . c o m ” ， 指 向 僵 尸 网 络 C 2 C 的 前 端 ， 有 趣 的 是 它 的 每 一 个 链 接 都 指 向 原 始 页 面 ， 研 究 人 员 点 击 一 个 链 接 后 ， 被 重 定 向 到 “ s u p p o r t . c o m ” 上 相 应 的 页 面 。 研 究 人 员 还 发 现 了 一 些 隐 藏 路 径 ， 其 中 包 含 b o t s 使 用 的 信 息 和 命 令 。 二 、 组 成 情 况 二 、 组 成 情 况 该 恶 意 软 件 由 两 部 分 组 成 ： ( 1 )   D o w n l o a d e r ： ： 一 个 仅 用 于 下 载 和 执 行 真 正 b o t 代 码 的 . N e t 执 行 文 件 ， 并 上 传 “ p a s t e b i n . c o m / r a w / E 8 y e 2 h v M ” 。 文 件 名 称 ： w o n d e r . e x e
表 1   W o n d e r 下 载 者 的 属 性 信 息 下 载 者 的 组 成 文 件 信 息 ： ( 2 )   真 正 的 真 正 的 B o t ： ： 当 它 被 下 载 执 行 后 ， 会 感 染 宿 主 ， 设 置 其 持 久 性 机 制 ， 并 按 照 图 中 的 流 程 开 始 其 恶 意 行 为 。 P a y l o a d / B o t 文 件 名 称 ： P a y l o a d . e x e 表 2   W o n d e r   B o t 的 属 性 信 息 W o n d e r   B o t 的 组 成 文 件 信 息 ： 通 过 使 用 一 些 静 态 分 析 工 具 ， 如 P E i D ， 了 解 该 恶 意 程 序 是 基 于 . N E T   F r a m e w o r k ， 使 用 C # 编 写 的 。
三 、 行 为 分 析 三 、 行 为 分 析 整 个 感 染 过 程 从 W o n d e r . e x e 文 件 执 行 成 功 后 开 始 ， 它 是 有 效 负 载 的 下 载 器 ， 它 会 尝 试 连 接 “ p a s t e b i n . c o m ” 来 检 索 已 编 码 的 有 效 负 载 ， 如 果 机 器 未 联 网 ，   W o n d e r . e x e 就 会 出 现 崩 溃 ， 如 下 图 。 图 2   W o n d e r . e x e 崩 溃 网 络 连 接 正 常 的 情 况 下 ， 这 个 下 载 者 会 尝 试 访 问 h t t p s : / / p a s t e b i n . c o m / r a w / E 8 y e 2 h v M   来 执 行   B o t   负 载 。 负 载 开 始 后 会 首 先 尝 试 解 析 域 “ w i k n e t . m o o o . c o m ” ， 由 于 该 域 名 未 注 册 ， 在 失 败 后 再 成 功 解 析 域 “ w i k n e t . w i k a b a . c o m   ” 到   I P “ 1 0 4 . 2 0 0 . 6 7 . 1 9 0 ” ， 研 究 人 员 分 析 该 I P 指 向   C 2 C   ， 访 问 这 个 网 站 出 现 上 面 图 1 中 的 虚 假 “   s u p p o r t . c o m ” 页 面 。 图 3   D N S 请 求 分 析 通 过 对 其 行 为 的 分 析 发 现 存 在 以 下 可 疑 活 动 ： ( 1 )   如 上 图 中 所 示 的 D N S 请 求 。 ( 2 )   在 “ A p p D a t a / L o c a l /   T e m p ” 路 径 中 创 建 一 个 文 件 ， 可 能 用 于 支 持 b o t 操 作 。
( 3 )   持 久 性 机 制 ， 添 加 自 身 链 接 到 “ C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s   S t a r t u p ” 。 B o t 和 C 2 C 之 间 的 所 有 通 信 都 在 T L S v 1 层 上 ， 所 以 无 法 看 到 。 四 、 深 度 分 析 四 、 深 度 分 析 ( 1 )   规 避 行 为 规 避 行 为 和 其 它 的 恶 意 软 件 一 样 ， 该 恶 意 软 件 也 使 用 一 些 规 避 技 术 来 躲 避 检 测 和 分 析 ， 它 通 过 查 找 一 些 虚 拟 库 ， 来 隐 藏 自 己 的 恶 意 行 为 ， 如 下 图 。 图 4   W o n d e r   B o t 的 规 避 行 为 分 析 ( 2 )   行 为 流 程 行 为 流 程 W o n d e r 恶 意 软 件 控 制 流 程 如 下 图 所 示 ：
图 5   W o n d e r   B o t 的 行 为 流 程 图 由 于 它 的 b o t 性 质 ， 一 旦 安 装 在 受 害 者 机 器 上 ， 就 必 须 创 建 一 个 I D 来 标 识 自 己 进 入 僵 尸 网 络 ， 该 I D   使 用 M D 5 算 法 加 密 ， 并 向 它 添 加 一 个 静 态 字 符 串 。
图 6   B o t   I D 创 建 ( 3 )   命 令 列 表 命 令 列 表 通 过 进 一 步 分 析 ， 得 到 B o t 接 收 C 2 C 的 一 些 命 令 ， 如 下 表 所 示 ： 表 3   W o n d e r   B o t   的 命 令 列 表 C 2 C 通 过 “ B L O C K ” 命 令 结 束 恶 意 软 件 ， 这 个 命 令 会 在 “ A p p D a t a / L o c a l / T e m p ” 路 径 下 创 建 一 个 新 文 件 （ “   B l o c k ~ ” + B O T _ I D ） ， 该 文 件 也 可 用 于 避 免 感 染 。 关 于 该 恶 意 软 件 的 Y a r a R u l e s 及 详 细 分 析 可 查 看 Z L a b 的 分 析 报 告 ， 下 载 链 接 为 ：
h t t p : / / c s e c y b s e c . c o m / d o w n l o a d / z l a b / W o n d e r _ b o t n e t _ Z L a b _ r e p o r t . p d f * 参 考 来 源 ： S e c u r i t y A f f a i r s ， * * 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理