搜索

[13406] 2018-11-12_一则邮件攻击样本分析分享

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-11-12_一则邮件攻击样本分析分享 一 则 邮 件 攻 击 样 本 分 析 分 享 Z I n s i g h t 团 队   F r e e B u f   2 0 1 8 - 1 1 - 1 2 一 、 一 、 前 言 前 言 通 过 邮 件 投 递 病 毒 文 件 是 网 络 攻 击 常 用 的 一 种 方 式 ， 因 此 防 御 邮 件 攻 击 是 每 个 安 全 团 队 都 需 要 重 点 考 虑 的 内 通 过 邮 件 投 递 病 毒 文 件 是 网 络 攻 击 常 用 的 一 种 方 式 ， 因 此 防 御 邮 件 攻 击 是 每 个 安 全 团 队 都 需 要 重 点 考 虑 的 内 容 。 中 兴 通 讯 每 天 都 会 收 到 数 万 封 外 部 邮 件 ， 为 了 及 时 检 测 每 封 邮 件 是 否 含 有 恶 意 文 件 ， 中 兴 容 。 中 兴 通 讯 每 天 都 会 收 到 数 万 封 外 部 邮 件 ， 为 了 及 时 检 测 每 封 邮 件 是 否 含 有 恶 意 文 件 ， 中 兴 Z I n s i g h t 团 队 部 团 队 部 署 了 自 研 的 高 级 邮 件 防 御 系 统 ， 针 对 每 个 邮 件 附 件 ， 通 过 动 态 行 为 分 析 的 方 式 检 测 是 否 存 在 威 胁 。 本 文 介 绍 近 署 了 自 研 的 高 级 邮 件 防 御 系 统 ， 针 对 每 个 邮 件 附 件 ， 通 过 动 态 行 为 分 析 的 方 式 检 测 是 否 存 在 威 胁 。 本 文 介 绍 近 期 捕 获 的 一 起 攻 击 事 件 ， 分 析 其 攻 击 过 程 。 期 捕 获 的 一 起 攻 击 事 件 ， 分 析 其 攻 击 过 程 。 二 、 二 、 攻 击 邮 件 的 捕 获 与 分 析 攻 击 邮 件 的 捕 获 与 分 析 近 日 ， 中 兴 高 级 邮 件 防 御 系 统 捕 获 了 一 批 使 用 高 危 w o r d 附 件 进 行 定 向 攻 击 的 钓 鱼 邮 件 ， 攻 击 对 象 均 为 同 一 项 目 团 队 成 员 ， 引 起 了 安 全 人 员 的 重 视 。 下 面 是 邮 件 附 件 的 分 析 报 告 ： 从 分 析 报 告 中 可 以 清 晰 的 看 到 ， 此 w o r d 文 件 有 创 建 进 程 的 异 常 行 为 ， 另 外 也 发 现 了 异 常 的 网 络 行 为 ， 可 以 猜 测 这 是 一 个 下 载 器 。 经 安 全 人 员 进 一 步 分 析 发 现 ， 在 w o r d 附 件 中 使 用 了 宏 病 毒 ， 宏 病 毒 由 v b 写 成 ， 采 用 了 加 密 混 淆 等 方 式 逃 避 杀 软 的 检 测 ， 见 下 图 ： v b 脚 本 经 过 混 淆 ， 但 依 然 可 以 看 出 有 联 网 的 痕 迹 ， 如 下 段 代 码 可 见 h t t p : / / 和 . c o m 的 痕 迹 ： 启 用 宏 后 打 开 此 文 档 会 自 动 运 行 脚 本 ， P r o c e s s E x p l o r e r 上 可 见 其 调 用 c m d . e x e 执 行 脚 本 命 令 ： 该 脚 本 首 先 通 过 d n s 查 询 若 干 个 恶 意 网
址 ， 连 接 成 功 后 通 过 h t t p 下 载 e x e 文 件 并 运 行 。 通 过 跟 踪 ， 发 现 其 连 上 s o l v o l a b . c o m / s d B 这 个 恶 意 网 址 ， 下 载 P E 文 件 并 运 行 。 d a t a   c h u n k 中 可 见 可 执 行 文 件 的 P E 头 中 的 标 识 和 字 段 ： 下 载 的 可 执 行 文 件 会 自 动 运 行 并 添 加 到 服 务 ， 名 称 为 b u i l d b u i l d ： 三 、 三 、 下 载 的 恶 意 样 本 分 析 下 载 的 恶 意 样 本 分 析 对 下 载 的 b u i l d b u i l d . e x e 样 本 进 行 分 析 ， 主 要 功 能 如 下 ： 1 . 搜 集 搜 集 s m a r t c a r d 信 息 信 息 该 样 本 通 过 注 册 表 查 询 s m a r t C a r d s 信 息 ： 逆 向 分 析 可 见 其 存 在 查 找 4 G 卡 的 服 务 提 供 商 ， 获 取 虚 拟 按 键 等 较 明 显 的 搜 集 敏 感 信 息 的 行 为 ： 2 . 自 写 壳 自 写 壳 该 样 本 在 P E i D 中 显 示 “ 查 无 此 壳 ” ， 也 没 有 任 何 语 言 信 息 ， 推 测 为 不 常 见 的 壳 ， 很 有 可 能 是 自 写 的 。
此 类 壳 没 法 用 工 具 自 动 脱 壳 ， 只 能 手 脱 。 调 试 过 程 中 发 现 这 个 壳 的 写 法 还 是 比 较 常 规 的 思 路 ： 1 )   调 用 V i r t u a l A l l o c 为 各 个 区 段 分 配 内 存 ， 将 加 密 的 区 段 数 据 解 密 到 各 自 对 应 的 内 存 空 间 ， 并 调 用 V i r t u a l P r o t e c t 根 据 区 段 的 属 性 修 改 内 存 操 作 权 限 ： 2 )   调 用 L o a d L i b r a r y 加 载 d l l ， 调 用 G e t P r o c A d d r e s s 分 别 获 取 d l l 中 目 标 函 数 地 址 。     3 )   跳 到 解 密 后 的 代 码 执 行 ， 如 下 图 0 0 1 A 1 0 0 0 存 放 的 为 解 码 后 的 . t e x t 区 段 代 码 ： 4 )   中 间 穿 插 了 G e t T i c k C o u n t 等 反 调 试 手 法 ： 若 发 现 处 在 调 试 状 态 ， 会 通 过 遍 历 进 程 的 方 式 找 到 并 结 束 自 身 进 程 。 进 程 遍 历 也 是 常 规 手 法 ： 调 用 C r e a t e T o o l h e l p 3 2 S n a p s h o t 建 立 进 程 快 照 ， 通 过 P r o c e s s 3 2 F i r s t W 和 P r o c e s s 3 2 N e x t W 进 行 遍 历 来 找 到 当 前 进 程 ， 然 后 通 过 C l o s e H a n d l e 直 接 结 束 进 程 。 判 断 是 否 为 当 前 进 程 的 方 法 是 在 上 图 C a l l   e b x 函 数 中 实 现 ， 通 过 调 用 G e t C u r r e n t P r o c e s s I d 获 取 当 前 进 程 I D ， 和 保 存 的 遍 历 到 的 进 程 I D 对 比 ， 相 同 就 说 明 当 前 遍 历 的 进 程 信 息 为 目 标 进 程 。
3 . 创 建 子 进 程 创 建 子 进 程 为 干 扰 逆 向 分 析 ， 该 样 本 在 运 行 过 程 中 会 调 用 C r e a t e P r o c e s s W 创 建 子 进 程 。 在 内 存 中 修 改 C r e a t i o n F l a g s 入 参 为 0 x 0 0 0 0 0 0 0 4 （ C R E A T E _ S U S P E N D E D ） ， 使 子 进 程 创 建 后 自 动 挂 起 ， 然 后 直 接 在 o d 中 找 到 其 进 程 号 a t t a c h 即 可 调 试 子 进 程 。 子 进 程 创 建 成 功 后 ， 病 毒 主 要 功 能 都 在 子 进 程 中 进 行 ， 而 父 进 程 将 退 出 。 以 下 皆 为 子 进 程 中 运 行 的 功 能 。 4 . 信 息 收 集 和 系 统 监 控 信 息 收 集 和 系 统 监 控 样 本 没 有 自 己 实 现 该 功 能 ， 而 是 调 用 了 第 三 方 动 态 库 w i n i m h c 3 . d l l 、 w i n b r o h c . d l l 、 w i n h a f n t . d l l 等 。 这 些 d l l 是   O C u l a r A g e n t 产 品 的 重 要 组 件 。 O C u l a r   A g e n t 为 一 电 脑 监 控 软 件 ， 由 S u r v e i l S t a r   I n c 开 发 ， 数 字 签 名 为 T . E . C   S o l u t i o n s ( G . Z . ) L i m i t e d ， 可 以 记 录 电 子 邮 件 , 聊 天 和 即 时 信 息 , 网 站 访 问 , 搜 索 历 史 , 计 划 活 动 , 文 件 操 作 等 等 。 其 动 态 库 常 被 杀 软 识 别 为 恶 意 软 件 。
w i n i m h c 3 逆 向 显 示 很 多 监 控 的 痕 迹 ， 如 I M H o o k 、 枚 举 窗 口 等 ： W i n b r o h c 中 实 现 了 很 多 监 控 功 能 诸 如 文 件 遍 历 、 监 控 应 用 程 序 数 据 、 检 索 杀 软 、 搜 索 数 据 库 、 修 改 h i s t o r y 文 件 和 注 册 表 等 。 调 用 F i n d F i r s t F i l e W 和 F i n d N e x t F i l e W 进 行 文 件 遍 历 ： 监 控 包 括 e x p l o r e r 、 c m d 、 w i n w o r d 在 内 的 多 个 程 序 ： 获 取 磁 盘 信 息 ： 获 取 各 种 浏 览 器 和 云 盘 中 的 用 户 信 息 及 历 史 数 据 ：
检 测 杀 软 ： 监 控 e x p l o r e r 、 c m d 等 常 用 程 序 ： 获 取 P r o c e s s T o k e n ， 提 权 ： 查 找 账 户 信 息 ： 监 控 邮 件 ：
5 . 自 删 除 自 删 除 6 . 自 我 复 制 自 我 复 制 自 我 复 制 到 在 c : w i n d o w s s y s t e m 3 2 目 录 下 ， 目 的 是 为 了 后 续 创 建 服 务 用 ： 4 F 4 句 柄 在 O D 中 查 知 为 c : w i n d o w s s y s t e m 3 2 b u i l d b u l d . e x e ： 这 个 过 程 并 没 有 直 接 调 用 k e r n e l 3 2 的 W r i t e F i l e 实 现 ， 而 是 通 过 外 壳 函 数 S H F i l e O p e r a t i o n W 实 现 ， 该 函 数 最 终 会 去 调 用 W r i t e F i l e 函 数 ： S H F i l e O p e r a t i o n 是 一 种 外 壳 函 数 ， 用 它 可 以 实 现 各 种 文 件 操 作 ， 如 文 件 的 拷 贝 、 删 除 、 移 动 等 ， 该 函 数 使 用 起 来 非 常 简 单 ， 它 只 有 一 个 指 向 S H F I L E O P S T R U C T 结 构 的 参 数 。 使 用 S H F i l e O p e r a t i o n (   ) 函 数 时 只 要 填 写 该 专 用 结 构 - - S H F I L E O P S T R U C T ， 告 诉 W i n d o w s 执 行 什 么 样 的 操 作 ， 以 及 其 它 重 要 信 息 就 行 了 。   7 . 创 建 服 务 创 建 服 务 使 用 之 前 自 我 复 制 的 c : w i n d o w s s y s t e m 3 2 b u i l d b u i l d . e x e 文 件 创 建 服 务 ：
四 、 样 本 分 析 总 结 四 、 样 本 分 析 总 结 该 样 本 采 用 了 很 多 方 法 干 扰 逆 向 ， 例 如 自 写 壳 、 子 进 程 、 反 调 试 、 以 及 调 用 第 三 方 监 控 软 件 的 d l l 等 等 。 并 且 调 试 过 程 中 发 现 该 样 本 总 是 用 V i r t u a l A l l o c 分 配 内 存 ， 然 后 将 要 执 行 的 部 分 代 码 拷 入 内 存 中 执 行 ， 同 时 喜 欢 用 类 似 c a l l   e a x 的 函 数 调 用 手 法 ， 使 得 无 法 使 用 I D A 等 工 具 查 看 其 代 码 逻 辑 ， 只 能 依 靠 手 调 。 功 能 比 较 常 规 ， 但 是 并 没 有 自 己 实 现 ， 而 是 调 用 了 第 三 方 的 监 控 软 件 中 的 d l l ， 一 方 面 功 能 大 而 全 ， 另 一 方 面 其 庞 大 的 代 码 量 也 可 以 起 到 干 扰 逆 向 的 效 果 。 五 、 防 御 建 议 五 、 防 御 建 议 邮 件 攻 击 是 非 常 普 遍 的 一 类 网 络 攻 击 ， 当 企 业 收 到 的 攻 击 邮 件 集 中 于 某 一 团 队 时 ， 需 要 格 外 注 意 ， 很 可 能 是 有 目 的 的 定 向 攻 击 ， 需 要 及 时 预 警 ， 提 醒 团 队 加 强 防 范 ， 不 要 轻 易 打 开 邮 件 的 附 件 和 链 接 ， 对 可 疑 文 件 进 行 杀 毒 ， 必 要 时 通 过 沙 箱 进 行 动 态 行 为 检 测 。 b u i l d b u i l d . e x e 样 本 M D 5 ： * 本 文 作 者 ： 本 文 作 者 ： Z I n s i g h t 团 队 ， 转 载 请 注 明 来 自 团 队 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 9 5 2 4 0 7 3 2 d 9 0 0 2 7 d f 7 c b 2 c 6 c 7 4 8 0 4 2 5 3 b
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理