搜索

[12368] 2018-02-16_针对“DorkBot”的样本分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-02-16_针对“DorkBot”的样本分析 针 对 “ D o r k B o t ” 的 样 本 分 析 三 五 年 后   F r e e B u f   2 0 1 8 - 0 2 - 1 6 概 述 概 述 D o r k B o t 是 一 种 已 知 的 恶 意 软 件 ， 最 早 可 以 追 溯 到 是 一 种 已 知 的 恶 意 软 件 ， 最 早 可 以 追 溯 到 2 0 1 2 年 。 它 被 认 为 通 过 社 会 媒 体 链 接 、 即 时 消 息 应 用 程 序 或 年 。 它 被 认 为 通 过 社 会 媒 体 链 接 、 即 时 消 息 应 用 程 序 或 受 感 染 的 可 移 动 设 备 等 多 种 方 式 进 行 传 播 。 尽 管 它 是 众 所 周 知 的 恶 意 软 件 家 族 中 的 一 员 ， 但 我 们 相 信 已 经 有 更 受 感 染 的 可 移 动 设 备 等 多 种 方 式 进 行 传 播 。 尽 管 它 是 众 所 周 知 的 恶 意 软 件 家 族 中 的 一 员 ， 但 我 们 相 信 已 经 有 更 多 的 网 络 感 染 了 多 的 网 络 感 染 了 D o r k b o t ， 而 且 超 过 了 我 们 之 前 的 预 计 ， 其 中 受 影 响 最 大 的 国 家 是 斯 里 兰 卡 、 印 度 和 俄 罗 斯 。 ， 而 且 超 过 了 我 们 之 前 的 预 计 ， 其 中 受 影 响 最 大 的 国 家 是 斯 里 兰 卡 、 印 度 和 俄 罗 斯 。 D o r k b o t 感 染 的 地 理 分 布 恶 意 软 件 本 质 上 是 一 个 通 用 的 下 载 器 和 一 些 二 进 制 组 件 的 启 动 器 ， 主 要 模 块 是 用 于 执 行 D D o S 攻 击 或 窃 取 密 码 。 此 次 的 分 析 是 基 于 在 过 去 一 个 月 中 多 次 捕 获 到 的 一 个 在 野 样 本 。 D o r k B o t 恶 意 软 件 被 打 包 在 一 个 d r o p p e r 中 ， 其 中 p a y l o a d 被 嵌 入 到 一 个 R C 4 加 密 的 b l o b ( 二 进 制 大 对 象 ) 中 。 这 个 b l o b 可 以 在 二 进 制 编 码 的 资 源 部 分 中 找 到 ， 并 且 使 用 B a s e 6 4 编 码 。 图 1 :   B a s e 6 4   编 码 &   R C 4 加 密 资 源 R C 4 密 文 的 前 缀 是 3 2 字 节 的 元 数 据 ， 其 中 包 含 了 以 字 节 为 单 位 解 密 的 R C 4 密 钥 。
图   2 :   解 码 资 源 的 结 构 d r o p p e r 先 对 B a s e 6 4 编 码 的 p a y l o a d 进 行 解 码 ， 然 后 对 其 进 行 后 续 解 密 ， 最 后 的 结 果 由 一 段 用 于 P E 加 载 的 s h e l l c o d e 和 恶 意 软 件 原 始 二 进 制 文 件 组 成 。 在 解 密 之 后 ， 控 制 权 被 移 交 给 位 于 原 始 二 进 制 文 件 中 的 s h e l l c o d e ， 然 后 将 其 进 行 装 载 并 执 行 入 口 处 代 码 。 图 3 :   解 密 和 执 行 嵌 入 在 资 源 中 的 p a y l o a d 该 恶 意 软 件 的 d r o p p e r 可 以 通 过 一 个 特 殊 的 循 环 来 识 别 ， 该 循 环 中 会 出 现 一 个 消 息 框 调 用 一 个 未 定 义 的 句 柄 ， 其 值 为 0 x F F F F A 4 8 1 ， 显 示 文 本 为 “ W i l l   e x e c ” 。 P a y l o a d P a y l o a d 主 要 包 含 下 列 行 为 主 要 包 含 下 列 行 为 : 检 验 参 数 ： 检 验 参 数 ： 如 果 是 一 个 文 件 名 作 为 参 数 传 递 ， 它 将 在 当 前 目 录 中 查 找 并 使 用 S h e l l E x e c u t e W 执 行 。 但 是 ， 如 果 参 数 以 “ ” 结 尾 ， 那 么 它 将 被 假 定 为 一 个 目 录 名 。 在 后 一 种 情 况 下 ， 通 过 使 用 S h e l l E x e c u t e W 生 成 “ e x e ” ， 将 目 录 路 径 附 加 到 当 前 目 录 作 为 参 数 ， 并 在 新 窗 口 中 打 开 。 该 特 性 是 为 了 在 恶 意 软 件 下 运 行 其 他 进 程 ， 并 利 用 它 来 替 换 所 有 的 快 捷 方 式 来 运 行 恶 意 软 件 ， 然 后 使 用 它 来 生 成 实 际 的 快 捷 路 径 ， 从 而 在 系 统 中 实 现 长 时 间 驻 留 。 拷 贝 自 身 ： 拷 贝 自 身 ： 恶 意 软 件 会 在 % a p p d a t a % 中 创 建 自 己 的 副 本 。 反 虚 拟 机 ： 反 虚 拟 机 ： 使 用 S e t u p D i G e t D e v i c e R e g i s t r y P r o p e r t y A 获 取 硬 盘 的 设 备 名 称 , 并 检 查 它 是 否 包 含 一 个 下 面 的 子 字 符 串 : “ v b o x ” 、 “ q e m u ” , “ v m w a r e ” , “ v i r t u a l   h d ” 。 如 果 包 含 , 恶 意 软 件 将 判 断 为 在 虚 拟 机 中 运 行 ， 进 而 会 终 止 进 程 。 终 止 自 启 动 进 程 ： 终 止 自 启 动 进 程 ： 枚 举 以 下 注 册 表 项 ， 关 闭 所 有 非 恶 意 软 件 相 关 的 自 启 动 进 程 ：
图 4 :   通 过 注 册 表 r u n   k e y 键 值 ， 枚 举 和 终 止 自 启 动 进 程 计 算 C o m p u t e r I D : 每 台 被 感 染 的 机 器 都 有 一 个 “ # ” 格 式 的 I D ， 其 中 第 二 个 参 数 是 系 统 信 息 缓 冲 区 的 M D 5 哈 希 ， 其 结 构 如 下 : 在 运 行 时 可 以 看 到 这 种 结 构 的 一 个 例 子 : 图   5 :   用 于 计 算 M a c h i n e   I D 的 h a s h 值 的 缓 冲 区 结 构 计 算 G U I D ： 恶 意 软 件 中 的 大 多 数 对 象 ( 事 件 、 互 斥 、 文 件 名 等 ) 都 是 基 于 生 成 的 G U I D 来 命 名 的 ， 此 次 的 G U I D 按 照 如
下 方 式 构 建 ( 基 于 前 面 提 到 的 系 统 信 息 结 构 ， 当 前 进 程 所 有 者 的 S I D 和 一 个 k e y 作 为 参 数 传 递 给 G U I D 生 成 函 数 ) : A P C 注 入 ： 创 建 一 个 挂 起 的 进 程 ， 将 恶 意 软 件 的 内 存 映 射 注 入 进 去 ， 将 其 主 线 程 的 控 制 函 数 （ 接 下 来 要 叙 述 的 ） 作 为 一 个 A P C 队 列 ， 并 恢 复 其 主 线 程 。 因 此 ， 上 述 函 数 开 始 运 行 在 s v c h o s t . e x e 进 程 中 。 工 作 线 程 控 制 函 数 : 该 函 数 包 含 恶 意 软 件 的 主 要 功 能 ， 以 线 程 的 形 式 调 用 各 种 功 能 。 预 计 这 个 函 数 将 会 在 前 面 提 到 的 A P C 注 入 后 的 宿 主 e x e 中 运 行 ， 如 果 失 败 ， 将 在 当 前 进 程 的 上 下 文 中 运 行 。 然 而 由 于 代 码 中 出 现 的 一 个 b u g ， 后 者 将 不 会 在 现 实 中 发 生 。 在 进 程 句 柄 关 闭 后 ， 正 在 启 动 的 s v c h o s t . e x e 主 线 程 句 柄 也 会 关 闭 。 这 会 导 致 进 程 崩 溃 ， 从 而 避 免 进 一 步 的 恶 意 活 动 。 函 数 本 身 的 行 为 如 下 : Ø   P E 加 载 操 作 ， 即 进 行 重 定 位 操 作 以 及 解 析 导 入 的 恶 意 软 件 映 射 的 执 行 。 Ø   创 建 一 个 隐 藏 的 计 划 任 务 ( 使 用 I T a s k   C O M 类 ) ， 该 任 务 设 置 为 在 当 前 用 户 的 登 录 时 启 动 。 Ø   创 建 注 册 表 r u n k e y , 在 H K C M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 。 键 的 名 称 是 预 先 生 成 的 G U I D ， 路 径 为 复 制 到 % a p p d a t a % 下 的 恶 意 文 件 。 Ø   在 一 个 单 独 的 线 程 中 删 除 原 始 的 恶 意 软 件 文 件 ( 除 非 当 恶 意 软 件 从 一 个 非 移 动 介 质 运 行 ， 并 成 功 地 注 入 到 e x e ) 。 如 果 恶 意 软 件 是 由 可 移 动 的 媒 体 执 行 的 ， 它 将 在 H C K U S o f t w a r e C l a s s e s C L S I D 下 注 册 一 个 指 定 的 类 ， 类 名 是 G U I D ， 键 值 为 0 x D E A D B E E F 。 图 6 ： 恶 意 软 件 注 册 一 个 类 文 件 修 改 监 控 : 一 个 线 程 会 不 断 地 计 算 % a p p d a t a % 下 复 制 的 恶 意 二 进 制 文 件 的 C R C 3 2 ， 并 将 其 与 原 始 文 件 的 C R C 3 2 进 行 比 较 。 一 旦 发 生 变 化 ， 复 制 文 件 会 被 删 除 ， 并 将 其 重 写 为 原 始 文 件 的 内 容 。
图 7 :   文 件 更 改 监 视 器 代 码 替 换 快 捷 方 式 : 遍 历 所 有 安 装 的 驱 动 器 （ 通 过 G e t L o g i c a l D r i v e S t r i n g s W 获 取 ） 并 枚 举 所 有 文 件 ， 以 找 到 具 有 “ . l n k ” 扩 展 名 的 文 件 。 如 果 找 到 这 样 的 文 件 ， 则 通 过 以 下 参 数 去 执 行 e x e 去 修 改 目 标 路 径 （ 使 用 I P e r s i s t F i l e   C O M 类 ） ： Ø   由 恶 意 软 件 生 成 的 包 含 恶 意 软 件 副 本 的 路 径 。 Ø   枚 举 文 件 的 路 径 ， 它 将 通 过 执 行 恶 意 软 件 本 身 来 调 用 。 注 入 进 程 监 控 代 码 : 该 恶 意 软 件 将 枚 举 所 有 正 在 运 行 的 进 程 ， 并 排 除 6 4 位 进 程 、 当 前 进 程 和 运 行 名 为 “ t e a m v i e w e r . e x e 、 t v _ w 3 2 . e x e ” 的 进 程 。 图 8 : 将 T e a m V i e w e r 排 除 在 注 入 的 目 标 进 程 之 外 。 所 有 其 他 进 程 ( 以 及 恶 意 软 件 创 建 的 n o t e p a d . e x e 进 程 ) 将 被 注 入 以 下 代 码 :
图 9 : 注 入 进 程 监 视 代 码 指 针 0 x 1 1 1 1 1 1 1 1 、 0 x 2 2 2 2 2 2 2 2 、 0 x 3 3 3 3 3 3 3 3 和 0 x 4 4 4 4 4 4 4 4 将 在 注 入 函 数 之 前 被 替 换 ， 如 下 所 示 : 图 1 0 :   在 进 程 监 视 p a y l o a d 中 把 无 效 指 针 替 换 成 真 实 的 函 数 指 针 注 入 的 代 码 本 身 将 无 限 期 地 等 待 一 个 事 件 ， 当 原 始 的 恶 意 软 件 进 程 被 终 止 时 ， 信 号 量 将 会 被 释 放 。 当 出 现 这 种 情 况 ， 注 入 的 进 程 监 控 代 码 将 会 再 次 启 动 恶 意 软 件 。 l 通 信 : 所 有 C 2 域 名 都 存 放 在 一 个 以 A E S 2 5 6 - C B C 加 密 的 b l o b 二 进 制 文 件 中 ， 排 列 成 一 个 指 针 列 表 ， 在 . d a t a 区 段 偏 移 1 6
的 位 置 中 可 以 找 到 。 图 1 1 ： 被 加 密 的 C n C 域 名 表 解 密 的 密 钥 为 “ G D ! b r W J J B e T g T G S g E F B / q u R c f C k B H W g l ” 。 图 1 2 : C n C 域 名 的 解 密 函 数 在 恶 意 软 件 中 可 以 观 察 到 以 下 类 型 的 通 信 : Ø   H T T P   G E T   请 求 一 个 文 件 从 样 本 的 C 2 服 务 中 。 C 2 将 通 过 “ v % d ” 格 式 的 子 域 进 行 联 系 ， 其 中 的 % d 数 值 是 从
运 行 时 的 全 局 变 量 中 获 取 。 如 果 从 服 务 器 成 功 返 回 一 个 文 件 ， 那 么 它 将 一 1 0 字 符 的 随 机 数 命 名 存 在 在 % a p p d a t a % 下 ， 并 使 用 C r e a t e P r o c e s s W 启 动 。 注 意 ： 其 他 变 种 的 恶 意 软 件 可 能 使 用 不 同 的 子 域 名 ， 例 如 “ u p % d ” 。 Ø   基 于 T C P 的 原 始 协 议 ， 用 于 获 取 可 从 中 下 载 文 件 的 新 C n C 地 址 。 协 议 请 求 消 息 是 一 个 包 含 1 7 0 个 字 节 的 缓 冲 区 ， 具 有 以 下 结 构 : 图 1 3 : 请 求 C n C 的 原 始 协 议 结 构 响 应 包 由 5 1 7 字 节 组 成 ， 具 有 以 下 结 构 : 图 1 4 : 来 自 C n C 的 响 应 包 I O C s * 参 考 来 源 ： c h e c k p o i n t ， 由 三 五 年 后 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理