搜索

[14598] 2019-09-17_通过“热补丁”执行恶意代码实例分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-09-17_通过“热补丁”执行恶意代码实例分析 通 过 “ 热 补 丁 ” 执 行 恶 意 代 码 实 例 分 析 D D 黃 藥 師 B B   F r e e B u f   2 0 1 9 - 0 9 - 1 7 序 言 序 言 前 两 天 在 “ 蜂 鸟 ” 图 标 的 社 交 网 站 看 到 一 个 高 危 样 本 ， 便 下 载 审 查 一 番 。 文 件 是 一 个 压 缩 包 ， 压 缩 包 中 有 两 个 普 通 图 片 、 一 个 E X E 和 一 个 D L L 文 件 （ w w l i b . d l l ） 。 通 过 使 用 V i r u s T o t a l 查 询 M D 5 后 发 现 只 有 w w l i b . d l l 被 杀 毒 引 擎 检 出 为 恶 意 文 件 ， 于 是 笔 者 不 老 道 的 经 验 判 断 这 是 一 个 普 通 的 D L L 劫 持 操 作 。 在 一 番 动 态 运 行 后 发 现 确 实 如 此 ， 然 后 就 按 照 D L L 劫 持 的 分 析 思 路 进 行 分 析 ， 结 果 并 没 有 找 到 具 体 得 恶 意 代 码 执 行 处 。 之 后 经 过 多 个 小 时 的 奋 斗 ， 终 于 发 现 w w l i b . d l l 使 用 类 似 “ 热 补 丁 ” 技 术 修 改 了 系 统 n t d l l . L d r L o a d D L L 函 数 的 返 回 地 址 使 其 跳 转 到 w w l i b . d l l 的 恶 意 函 数 进 而 执 行 多 层 s h e l l c o d e 。 热 补 丁 ： 又 称 为 p a t c h ， 指 能 够 修 复 软 件 漏 洞 的 一 些 代 码 ， 是 一 种 快 速 、 低 成 本 修 复 产 品 软 件 版 本 缺 陷 的 方 式 ， 可 以 运 行 状 态 下 对 程 序 进 行 修 复 。 “ 热 补 丁 热 补 丁 ” 位 置 位 置 压 缩 包 中 的 e x e 文 件 作 用 只 是 用 来 加 载 w w l i b . d l l ， 所 以 我 们 只 对 w w l i b . d l l 进 行 详 细 分 析 。 文 件 名 ： w w l i b . d l l M D 5 ： 6 8 7 5 f 3 0 7 d 9 5 7 9 0 c a 2 5 c 1 d a 5 4 2 e a 7 3 6 a 8 w w l i b . d l l 被 加 载 后 首 先 执 行 s u b _ 1 0 0 0 1 0 1 A 函 数 ， 获 取 n t d l l . L d r L o a d D l l 的 函 数 地 址 并 将 其 返 回 地 址 进 行 修 改 。 n t d l l . L d r L o a d D l l 的 返 回 地 址 被 修 改 为 跳 转 到 w w l i b . d l l 的 s u b _ 1 0 0 0 1 6 8 E 函 数 。 修 改 前 ：
修 改 后 ： 除 了 以 上 修 改 外 作 者 还 开 辟 了 新 的 内 存 空 间 并 写 入 跳 转 到 n t d l l . L d r L o a d D l l 返 回 地 址 7 c 9 3 6 4 e e 的 代 码 。 但 是 在 调 试 时 并 未 发 现 有 执 行 改 代 码 的 操 作 ， 怀 疑 是 作 者 的 测 试 代 码 。 修 改 了 以 上 代 码 就 能 确 保 恶 意 代 码 被 顺 利 执 行 。 如 何 触 发 执 行 恶 意 代 码 ？ 如 何 触 发 执 行 恶 意 代 码 ？ 以 下 结 果 是 使 用 3 2 位 的 w i n   X P 调 试 而 得 。 当 加 载 D L L 文 件 时 调 用 K e r n e l 3 2 . L o a d L i b r a r y A 函 数 ， 经 过 下 图 中 的 层 层 调 用 最 终 执 行 n t d l l . L d r L o a d D l l 函 数 。 由 于 n t d l l . L d r L o a d D l l 函 数 的 返 回 地 址 “ 7 c 9 3 6 4 e e ” 被 修 改 为 跳 转 到 w w l i b . 1 0 0 0 1 6 8 E 地 址 。 “ 热 补 丁 ” 设 置 成 功 后 只 要 进 行 加 载 D L L 动 作 即 可 触 发 恶 意 代 码 ， 下 面 是 对 恶 意 代 码 下 断 点 分 析 的 内 容 。 解 密 执 行 解 密 执 行 s h e l l c o d e
恶 意 代 码 首 先 将 修 改 过 的 n t d l l 函 数 返 回 地 址 恢 复 ， 对 比 上 一 节 的 图 片 可 知 将 “ E 9   9 B   B 1   6 C   9 3 ” 恢 复 为 “ C 2   1 0   0 0   9 0 9 0 ” 。 将 解 密 后 的 s h e l l c o d e 拷 贝 到 新 开 辟 的 内 存 空 间 并 执 行 。 启 动 线 程 进 行 连 接 C 2 操 作 。 获 取 网 卡 信 息 。
线 程 解 密 C 2 地 址 后 启 动 新 的 线 程 进 行 网 络 操 作 。 请 求 地 址 h t t p s : / /   c l o u d . d o o m d n s . o r g / h k 1 2 获 取 下 一 阶 段 s h e l l c o d e 代 码 。 执 行 下 载 的 s h e l l c o d e 代 码 。 总 结 总 结 详 细 分 析 后 发 现 这 并 不 是 一 个 简 单 的 D L L 劫 持 操 作 ， 而 是 通 过 精 心 构 造 的 跳 转 执 行 恶 意 代 码 。 s h e l l c o d e 代 码 虽 然 有 很 多 层 ， 但 是 执 行 逻 辑 与 代 码 风 格 基 本 相 同 。 只 要 耐 下 心 来 ， 一 层 一 层 跟 下 去 就 能 找 到 恶 意 代 码 的 执 行 逻 辑 。
想 到 很 多 朋 友 不 能 在 V i r u s T o t a l 直 接 下 载 样 本 ， 笔 者 将 本 文 的 样 本 放 置 在 g i t h u b 上 供 大 家 学 习 研 究 。 本 文 种 若 有 遗 漏 错 误 之 处 ， 欢 迎 大 家 批 评 指 正 、 留 言 交 流 。 样 本 地 址 ： h t t p s : / / g i t h u b . c o m / S h a r e S a m p l e / H o t - P a t c h - S a m p l e I O C 3 0 6 1 f 3 2 0 d 4 7 a 6 c 9 8 5 b d 2 1 9 f 5 a c 1 4 f f 8 a c l o u d . d o o m d n s . o r g h t t p s : / /   c l o u d . d o o m d n s . o r g / h k 1 2 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： D D 黃 藥 師 黃 藥 師 B B ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理