搜索

[12705] 2018-05-15_ATBroker.exe：一个被病毒利用的微软进程

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-05-15_ATBroker.exe：一个被病毒利用的微软进程 A T B r o k e r . e x e ： 一 个 被 病 毒 利 用 的 微 软 进 程 原 创   o z c z z z z   F r e e B u f   2 0 1 8 - 0 5 - 1 5 一 一   前 言 前 言 一 般 情 况 下 ， 病 毒 会 利 用 添 加 启 动 项 、 计 划 任 务 、 服 务 的 方 式 来 实 现 开 机 启 动 ， 达 到 留 存 和 活 跃 的 目 的 。 然 一 般 情 况 下 ， 病 毒 会 利 用 添 加 启 动 项 、 计 划 任 务 、 服 务 的 方 式 来 实 现 开 机 启 动 ， 达 到 留 存 和 活 跃 的 目 的 。 然 而 ， 利 用 而 ， 利 用 a t b r o k e r . e x e 系 统 进 程 ， 实 现 病 毒 开 机 启 动 的 方 式 并 不 常 见 。 虽 然 该 手 法 在 系 统 进 程 ， 实 现 病 毒 开 机 启 动 的 方 式 并 不 常 见 。 虽 然 该 手 法 在 2 0 1 6 年 年 7 月 已 经 有 被 曝 光 ， 月 已 经 有 被 曝 光 ， 但 是 被 发 现 的 在 野 攻 击 却 不 多 。 不 久 前 ， 某 网 友 机 子 上 的 某 杀 毒 软 件 不 停 的 提 示 有 挖 矿 （ 但 是 被 发 现 的 在 野 攻 击 却 不 多 。 不 久 前 ， 某 网 友 机 子 上 的 某 杀 毒 软 件 不 停 的 提 示 有 挖 矿 （ z e c 币 ） 程 序 在 运 行 ， 币 ） 程 序 在 运 行 ， 删 除 恶 意 程 序 后 ， 下 次 开 机 还 是 会 不 停 的 出 现 。 在 一 番 苦 心 挖 掘 下 ， 终 于 摸 清 了 病 毒 的 自 启 、 躲 避 杀 软 的 攻 击 删 除 恶 意 程 序 后 ， 下 次 开 机 还 是 会 不 停 的 出 现 。 在 一 番 苦 心 挖 掘 下 ， 终 于 摸 清 了 病 毒 的 自 启 、 躲 避 杀 软 的 攻 击 手 法 。 手 法 。 本 次 抓 到 的 样 本 ， 通 过 利 用 a t b r o k e r . e x e 自 启 病 毒 母 体 ， 然 后 通 过 r u n d l l 3 2 加 载 恶 意 模 块 ， 最 后 实 现 文 件 的 m d 5 修 改 、 释 放 和 执 行 挖 矿 程 序 。 二 二   技 术 背 景 技 术 背 景 2 . 1   a t b r o k e r . e x e 背 景 介 绍 背 景 介 绍 a t b r o k e r . e x e （ C : W i n d o w s S y s t e m 3 2 目 录 下 ） ， 源 于 微 软 的 “ 轻 松 访 问 中 心 ” 。 ” 轻 松 访 问 中 心 ” 的 一 项 功 能 是 帮 助 用 户 启 动 辅 助 功 能 应 用 程 序 ， 常 用 的 包 括 讲 述 人 ， 屏 幕 键 盘 和 放 大 镜 。 同 时 ， 这 意 味 着 第 三 方 程 序 也 可 以 通 过 注 册 “ 轻 松 访 问 中 心 ” 的 方 式 来 启 动 。 这 一 机 制 使 得 病 毒 可 以 通 过 写 注 册 表 的 方 式 ， 利 用 a t b r o k e r . e x e 启 动 恶 意 程 序 。 a t b r o k e r . e x e 的 文 件 信 息 如 下 ： 2 . 2   a t b r o k e r . e x e   攻 击 手 段 攻 击 手 段 早 在 2 0 1 6 年 7 月 2 2 就 曝 光 了 利 用 a t b r o k e r . e x e 运 行 恶 意 程 序 的 方 法 ， 但 是 网 上 对 利 用 该 手 法 进 行 恶 意 攻 击 的 文 章 不 多 。 详 情 请 戳 ： h t t p : / / w w w . h e x a c o r n . c o m / b l o g / 2 0 1 6 / 0 7 / 2 2 / b e y o n d - g o o d - o l - r u n - k e y - p a r t - 4 2 / h t t p s : / / m s d n . m i c r o s o f t . c o m / l i b r a r y / w i n d o w s / d e s k t o p / m t 8 2 6 4 9 2 亲 测 ， 触 发 a t b r o k e r . e x e 启 动 ， 有 以 下 几 个 场 景
（ 1 ） 锁 屏 或 者 登 录 时 （ 2 ） 开 机 启 动 时 （ 3 ） 运 行 a t b r o k e r . e x e 时 （ 4 ） 按 下 C t r l + A l t + D e l 时 （ 5 ） 触 发 U A C 时 下 面 用 一 个 小 视 频 演 示 W i n 1 0   下 U A C 触 发 a t b r o k e r . e x e 启 动 恶 意 程 序 （ 以 n o t e p a d . e x e 为 例 ） 的 场 景 ， 感 兴 趣 的 可 自 行 测 试 三 三   z e c 币 挖 矿 攻 击 币 挖 矿 攻 击 3 . 1   攻 击 流 程 攻 击 流 程 从 病 毒 母 体 的 自 启 动 ， 到 最 终 的 挖 矿 程 序 执 行 ， 中 间 用 了 多 层 手 法 ， 用 此 方 法 有 主 要 两 个 目 的 ： （ 1 ） 隐 藏 母 体 ， 让 病 毒 长 期 驻 存 和 活 跃 ； （ 2 ） 不 断 改 变 M D 5 逃 避 杀 软 查 杀 。 这 里 用 红 色 字 体 标 注 恶 意 文 件 ， 用 蓝 色 字 体 标 注 系 统 进 程 ， 流 程 如 图 所 示 3 . 2   自 启 动 自 启 动 样 机 上 的 a t b r o k e r . e x e 利 用 的 注 册 表 信 息 ： 注 册 表 H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n A c c e s s i b i l i t y A T s 下 创 建 了 一 个 Z l o c a l 3 9 的 项 ， 其 中 S t a r t E x e 的 值 指 向 病 毒 母 体 ， S t a r t P a r a m s 的 内 容 是 运 行 参 数   w o s h i y i z h i x i a o m a o l v （ 我 是 一 只 小 毛 驴 ？ ）
注 册 表 H K C U S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n A c c e s s i b i l i t y S e s s i o n 1 下 的 C o n f i g u r a t i o n 的 值 为 Z l o c a l 3 9 通 过 p r o c e s s m o n   的 开 机 监 控 发 现 ， 系 统 登 录 时 会 启 动 a t b r o k e r . e x e ， 然 后 a t b r o k e r . e x e 接 着 执 行 恶 意 程 序 Z l o c . e x e j P n A t D o P y . e x e ， 参 数   w o s h i y i z h i x i a o m a o l v 3 . 3   样 本 分 析 样 本 分 析 I D A   打 开 Z l o c . e x e j P n A t D o P y . e x e ( M D 5 : 2 7 d 6 2 0 9 b 6 e 1 0 1 8 3 a 1 2 6 9 0 6 a 7 1 4 3 9 0 5 7 7 ) ， p d b 路 径 暴 露 了 作 者 的 Q Q 号 。 是 故 意 留 名 ？ 还 是 无 意 之 举 。
Z l o c . e x e j P n A t D o P y . e x e 主 要 是 在 t e m p 目 录 下 释 放 文 件 名 随 机 ， 后 缀 名 为 l b l l 的 模 块 并 加 载 释 放 并 加 载 i b l l 文 件 后 ， 接 着 起 r u n d l l 3 2 加 载 i d T e m p . d a t a ， 函 数 入 口 C g v S E c X g G k b W w k F a 。 （ 这 里 的 v C T e m p . d a t a ( M D 5 : 2 7 d 6 2 0 9 b 6 e 1 0 1 8 3 a 1 2 6 9 0 6 a 7 1 4 3 9 0 5 7 7 )   其 实 就 是 Z l o c . e x e j P n A t D o P y . e x e ）
I D A 打 开 i d T e m p . d a t a （ M D 5 ： 2 0 1 1 3 6 f 4 5 9 c 3 9 8 2 b c 7 5 d 4 4 0 f 8 a f e 4 0 c 4 ） ， 该 模 块 主 要 是 创 建 线 程 和 释 放 挖 矿 文 件 到 C : P r o g r a m D a t a G T O r i g i n   目 录 下 ， 并 解 压 挖 矿 文 件 到 % a p p d a t a % / W t r l 目 录 下 S u b _ 1 0 0 0 4 A 2 0 (   ) 关 键 代 码
释 放 文 件 进 入 到 该 目 录 下 查 看 这 些 文 件 ， 其 中 i n i 的 文 件 为 加 密 的 配 置 文 件 ， W t r l . c a b 是 包 含 挖 矿 模 块 （ 后 来 证 实 是 a n t p o o l 的 z e c 挖 矿 模 块 ） 的 压 缩 包
W t r l . c a b 的 文 件 最 后 被 释 放 到 % a p p d a t a % / W t r l 目 录 下 接 着 r u n d l l 3 2 调 起 M i n e . e x e （ M D 5 ： c 8 4 9 f 4 2 7 2 1 c c 0 a 0 d 6 6 f 4 0 5 6 0 2 1 2 6 e c f 0 ） ， 运 行 参 数   w o s h i y i z h i x i a o m a o l v
M i n e . e x e 调 起 T h u n d C l o u d . e x e （ d 9 c 6 a b 0 6 d d 0 e a 7 7 0 3 e f f 9 5 2 d 4 0 c 4 e 4 c e ） ， 运 行 参 数 依 然 是   w o s h i y i z h i x i a o m a o l v T h u n d C l o u d . e x e 最 后 加 载 同 目 录 下 的 挖 矿 模 块 ， 用 w i r e s h a r k   抓 包 得 到 矿 池 地 址 ， 账 号 名 和 矿 工 名 五 五   溯 源 溯 源 根 据 p d b 路 径 暴 露 的 Q Q 号 ， 查 到 作 者 于 1 2 年 毕 业 ， 活 跃 于 看 雪 论 坛 ， 擅 长 w i n d o w s 驱 动 开 发
六 六   总 结 总 结 通 过 本 次 事 件 的 分 析 ， a t b r o k e r . e x e   是 病 毒 很 好 的 藏 身 之 地 。 病 毒 再 通 过 改 变 M D 5 和 白 + 黑 手 法 ， 能 绕 过 大 部 分 杀 软 的 查 杀 。 触 发 a t b r o k e r . e x e 来 启 动 病 毒 的 场 景 很 多 ， 包 括 开 机 自 启 、 锁 屏 、 U A C 和 参 数 运 行 等 。 利 用 该 机 制 ， 使 得 病 毒 能 够 轻 松 拉 活 自 己 并 长 期 驻 存 在 系 统 中 。 I O C s 2 7 d 6 2 0 9 b 6 e 1 0 1 8 3 a 1 2 6 9 0 6 a 7 1 4 3 9 0 5 7 7 0 5 b 5 f 5 2 6 6 3 1 c b 3 c 6 3 a e 4 5 0 6 1 d b a c 3 1 6 a 2 0 1 1 3 6 f 4 5 9 c 3 9 8 2 b c 7 5 d 4 4 0 f 8 a f e 4 0 c 4 c 8 4 9 f 4 2 7 2 1 c c 0 a 0 d 6 6 f 4 0 5 6 0 2 1 2 6 e c f 0 d 9 c 6 a b 0 6 d d 0 e a 7 7 0 3 e f f 9 5 2 d 4 0 c 4 e 4 c e 参 考 文 章 参 考 文 章 h t t p : / / w w w . h e x a c o r n . c o m / b l o g / 2 0 1 6 / 0 7 / 2 2 / b e y o n d - g o o d - o l - r u n - k e y - p a r t - 4 2 / h t t p s : / / m s d n . m i c r o s o f t . c o m / l i b r a r y / w i n d o w s / d e s k t o p / m t 8 2 6 4 9 2 * 本 文 原 创 作 者 ： o z c z z z z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理