搜索

[15327] 2020-05-03_Pekraut：新的RAT木马来袭，功能丰富

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-05-03_Pekraut：新的RAT木马来袭，功能丰富 P e k r a u t ： 新 的 R A T 木 马 来 袭 ， 功 能 丰 富 A v e n g e r   F r e e B u f   2 0 2 0 - 0 5 - 0 3 最 近 新 出 现 了 一 个 功 能 丰 富 的 最 近 新 出 现 了 一 个 功 能 丰 富 的 R A T 名 为 名 为 P e k r a u t ， 经 过 分 析 后 推 测 可 能 来 源 于 德 国 。 ， 经 过 分 析 后 推 测 可 能 来 源 于 德 国 。 在 日 常 通 过 可 疑 路 径 检 索 新 兴 恶 意 软 件 时 ， 一 个 在 % A P P D A T A % / M i c r o s o f t 中 伪 装   s v c h o s t . e x e   的 样 本 引 起 了 我 们 的 注 意 。 该 样 本 是 C o n f u s e r E x 加 壳 的   . N E T   程 序 。 名 为 n e t R a t . e x e 的 该 文 件 已 上 传 到   V i r u s T o t a l 。 文 件 版 本 信 息 中 的 I n t e r n a l N a m e 与 O r i g i n a l F i l e n a m e 相 同 ， 版 本 信 息 还 包 含   2 0 1 9   年 的 版 权 声 明 。 如 下 所 示 是   C o n f u s e r E x   加 壳 的   P e k r a u   样 本 的   P o r t e x A n a l y z e r   的 结 果 ： 如 下 所 示 ， 是 脱 壳 的   P e k r a u   样 本 的   P o r t e x A n a l y z e r   的 结 果 ： 通 过 相 似 样 本 检 索 ， 我 们 发 现 了 第 二 个 样 本 。 该 样 本 在 前 一 个 样 本 一 天 后 被 上 传 到   V i r u s T o t a l 。 该 样 本 虽 然 没 有 加 壳 ， 但 是 使 用 了   D o t f u s c a t o r   加 了 混 淆 。 第 一 个 样 本 脱 壳   C o n f u s e r E x   后 会 得 到 几 乎 与 第 二 个 文 件 相 同 的 文 件 。 混 淆 模 糊 了   . N E T   符 号 的 原 始 名 称 ， 比 如 类 、 变 量 、 函 数 。 我 们 没 有 发 现 任 何 未 混 淆 的   P e k r a u t   样 本 ， 因 此 我 们 手 动 命 名 这 些 符 号 。 去 混 淆 后 的 样 本 也 适 用 于 本 文 的 截 图 ， 请 注 意 ， 这 些 符 号 名 称 不 是 源 代 码 的 一 部 分 ， 不 能 以 此 作 为 检 测 签 名 。
P e k r a u t   R A T   的 命 令 列 表 的 命 令 列 表 P e k r a u t   的 客 户 端 可 接 受   2 7   条 命 令 ， h e l p 命 令 可 以 得 到 命 令 的 德 文 描 述 ， 但 是 命 令 本 身 还 是 英 文 的 。 某 些 命 令 没 有 提 供 解 释 性 描 述 信 息 ， 例 如 d b g 命 令 。 如 下 所 示 ， 负 责 管 理 所 有 命 令 的 类 在 命 令 列 表 中 有 七 个 占 位 符 对 象 。 可 能 是 在 打 印 所 有 命 令 的 帮 助 描 述 时 放 置 换 行 符 的 奇 怪 方 式 。 综 上 所 述 ， 除 调 试 命 令 外 ， 整 个   R A T   的 功 能 已 经 十 分 丰 富 了 。 恶 意 软 件 的 作 者 对 代 码 如 此 自 信 ， 以 至 于 都 忽 略 了 阻 碍 分 析 的 措 施 。 下 表 总 结 了 对 命 令 实 现 的 细 节 分 析 ： 命 令 命 令 描 述 描 述 s p y _ c b 读 取 剪 贴 板 数 据 发 送 回   C & C   服 务 器 ， 支 持 存 储 在 剪 贴 板 内 的 图 像 s p y _ k e y l o g g e r 记 录 键 盘 按 键 。 支 持 以 下 特 殊 键   V K _ O E M _ N E C _ E Q U A L 、 V K _ L S h i f t 、 V K _ R S h i f t 、 V K _ S c r o l l 、 V K _ L M e n u 、 V K _ R M e n u 、 V K _ R C o n t r o l 、 V K _ L C o n t r o l s p y _ m i c 使 用 设 备 的 麦 克 风 开 始 停 止 录 制 ， 将 数 据 发 送 回   C & C   服 务 器 s p y _ s c r 显 示 有 关 显 示 器 的 信 息 或 为 特 定 的 屏 幕 截 图 ， 将 数 据 发 送 回   C & C   服 务 器 s p y _ c a m 使 用 设 备 的 摄 像 头 拍 摄 单 张 照 片 或 将 视 频 流 传 输 到   C & C   服 务 器 r e g _ l i s t 列 出 指 定 注 册 表 项 的 所 有 子 项 和 值 r e g _ d e l 删 除 注 册 表 项 ， 然 后 将 删 除 项 发 送 到   C & C   服 务 器 r e g _ r e a d 读 取 注 册 表 项 ， 将 数 据 发 送 到   C & C   服 务 器 r e g _ v a l u e 在 注 册 表 中 创 建 / 写 入 值 p r o c _ k i l l 通 过 进 程 名 称 或   I D   终 止 进 程 p r o c _ l i s t 将 所 有 正 在 运 行 的 进 程 名 称 发 送 到   C & C   服 务 器 p r o c _ s t a r t 通 过 指 定 路 径 执 行 文 件 f i l e _ d e l e t e 删 除 文 件 或 文 件 夹
f i l e _ d o w n l o a d 通 过 指 定   U R L   下 载 文 件 f i l e _ i n f o 将 文 件 的 文 件 名 、 扩 展 名 、 大 小 、 创 建 日 期 、 上 次 访 问 、 只 读 属 性 发 送 回   C & C   服 务 器 f i l e _ l i s t 将 文 件 夹 的 所 有 文 件 与 文 件 夹 名 称 发 送 到   C & C   服 务 器 ， 列 出 所 有 可 用 驱 动 器 f i l e _ s e n d 将 文 件 发 送 到   C & C   服 务 器 e x p l o i t _ a d m i n _ w i n 1 0 使 用   W i n d o w s   1 0   U A C   B y p a s s   以 管 理 员 权 限 启 动 给 定 程 序 p c _ c m d 通 过   c m d . e x e   执 行 命 令 ， 将 输 出 发 回   C & C   服 务 器 p c _ s h u t d o w n 关 闭 计 算 机 s y s i n f o 将 设 备 名 称 、 用 户 名 、 操 作 系 统 、 处 理 器 体 系 接 哦 古 、 屏 幕 数 量 、 摄 像 头 数 量 、 麦 克 风 数 量 等 信 息 发 送 回   C & C   服 务 器 d b g 目 前 为 无 限 循 环 ， 根 据 命 令 猜 测 为 调 试 客 户 端 程 序 ， 但 尚 未 完 全 实 现 e x i t 与 服 务 器 断 开 连 接 自 行 终 止 h e l p 所 有 命 令 / 描 述 信 息 c l i e n t _ e r r 将 最 后 一 个 错 误 发 送 到   C & C   服 务 器 t a s k s 将 当 前 执 行 的 命 令 发 送 到   C & C   服 务 器 ， 并 可 以 选 择 命 令 终 止 c l i e n t _ i n s t a l l 通 过 使 用   P e k r a u t   R A T   的   i n s t a l l / u n i n s t a l l   来 安 装 / 卸 载 客 户 端 命 令 命 令 描 述 描 述 通 过 通 过   C o m p u t e r D e f a u l t s . e x e   的 的   U A C   绕 过 绕 过 P e k r a u t   R A T   利 用   C o u m p u t e r D e f a u l t s . e x e ， 该 方 法 于   2 0 1 8   年   1 0   月 被 F a b i e n   D r o m a s 在 文 章 中 提 出 。 步 骤 如 下 ： 创 建 注 册 表 键 H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d 创 建 无 数 据 的 H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d D e l e g a t e E x e c u t e 的 值 将 要 以 管 理 员 权 限 启 动 的 程 序 的 数 据 写 入 H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d ( d e f a u l t ) 的 值 中 执 行   C o m p u t e r D e f a u l t s . e x e 由 于 存 在   D e l e g a t e E x e c u t e   的 值 ， C o m p u t e r D e f a u l t s . e x e   将 会 执 行 程 序 。 执 行   C o m p u t e r D e f a u l t s . e x e   之 后 ， P e k r a u t 将 会 删 除   U A C   绕 过 的 所 有 注 册 表 项 。
P e k r a u t   R A T   的 安 装 的 安 装 / 卸 载 卸 载 P e k r a u t   伪 装 成   s v c h o s t . e x e   和   I n t e r n e t   E x p l o r e r   的 更 新 程 序 。 安 装 安 装 将 自 身 复 制 到 % U S E R P R O F I L E % A p p D a t a R o a m i n g M i c r o s o f t s v c h o s t . e x e 将   s v c h o s t . e x e   文 件 设 置 为 隐 藏 与 系 统 文 件 。 这 将 使 该 文 件 从 常 规 文 件 系 统 中 不 可 见 ， 并 且 成 为 系 统 文 件 注 册 表 H K C U S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n S h e l l 值 默 认 包 含 字 符 串   e x p l o r e r . e x e 。 P e k r a u t   将 H K C U S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n S h e l l 追 加 到 其 后 。 这 会 在 登 录 后 执 行 e x p l o r e r . e x e   和 伪 装 的   s v c h o s t . e x e 在 C : U s e r s A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p I E x p l o r e r U p d a t e . l n k 处 创 建 快 捷 方 式 文 件 ， 指 向 % U S E R P R O F I L E % A p p D a t a R o a m i n g M i c r o s o f t s v c h o s t . e x e 。 由 于 快 捷 方 式 位 置 是 硬 编 码 的 ， 所 以 对 于 系 统 不 安 装 在   C   盘 的 计 算 机 上 不 起 作 用 最 后 ， 会 执 行 三 遍   p i n g   8 . 8 . 8 . 8 . 然 后 删 除 原 始 文 件 并 复 制 % U S E R P R O F I L E % A p p D a t a R o a m i n g M i c r o s o f t s v c h o s t . e x e 卸 载 卸 载 将 注 册 表 键 H K C U S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n S h e l l 恢 复 到 默 认 值 e x p l o r e r . e x e 删 除 创 建 的 快 捷 方 式 执 行   p i n g   8 . 8 . 8 . 8   随 后 删 除 自 身 安 装 与 卸 载 设 置 安 装 与 卸 载 设 置 安 装 与 卸 载 设 置 中 共 有 九 个 配 置 选 项 和 四 个 静 态 字 符 串 （ 分 别 表 示 安 装 位 置 、 安 装 子 文 件 夹 、 复 制 文 件 名 称 和 W i n d o w s   快 捷 方 式 名 称 ） 。 这 些 配 置 可 能 是 使 用 恶 意 软 件 生 成 工 具 设 置 的 ， 如 下 所 示 ， 除 了 u s e I n s t a l l S u b F o l d e r 选 项 之 外 ， 此 样 本 的 其 余 选 项 均 已 启 用 。 执 行 后 文 件 会 被 复 制 到 % U S E R P R O F I L E % A p p D a t a R o a m i n g M i c r o s o f t s v c h o s t . e x e 处 。
连 接 连 接   C & C   服 务 器 服 务 器 P e k r a u t   R A T   的   C & C   通 信 使 用   p o r t f o w a r d i n g   的 p o r t m a p . i o 隐 藏   C & C   服 务 器 的 真 实   I P   地 址 。 如 此 一 来 ， 服 务 器 甚 至 可 以 使 用 攻 击 者 的 家 用 台 式 机 。 P e k r a u t   R A T   支 持 发 送 / 接 收 以 下 类 型 的 数 据 ： 按 键 、 文 本 、 图 片 、 音 频 、 视 频 、 错 误 、 文 件 、 身 份 验 证 信 息 。 文 本 数 据 通 过 配 置 文 件 中 的   A E S   密 钥 进 行 加 密 ， 其 他 数 据 使 用   z l i b   进 行 加 密 。 如 上 所 示 ， 端 口 使 用   3 7 6 4 8 ， 认 证   I D   为 N g a 8 t G 1 2 3 h r a g G J j q t 1 0 j g a g 1 2 3 ， 加 密 密 钥 为 A g 2 a s g h 2 t h G a s 3 7 。 结 论 结 论 目 前 为 止 ， 我 们 还 没 有 看 到 其 他 样 本 出 现 ， 但 是 有 迹 象 表 明 该 恶 意 软 件 即 将 对 外 发 布 ： 配 置 中 显 示 版 本 号 为   1 . 1
R A T   提 供 了 丰 富 的 功 能 可 以 批 量 创 建 修 改 版 为 攻 击 者 提 供 恶 意 软 件 构 建 工 具 的 话 就 会 发 现 更 多 版 本 良 性 远 程 访 问 工 具 不 会 伪 装   s v c h o s t . e x e   和   I n t e r n e t   E x p l o r e r   更 新 进 行 持 久 化 I O C c b c 5 0 0 b 7 6 9 9 5 d 3 6 c 7 6 d 0 4 0 6 1 c 5 8 c e a f 9 3 a 1 8 8 0 a f 3 2 b e 4 9 4 e 5 a c 1 e 0 9 9 6 6 3 e d 0 f d 2 d a b 9 5 a b e 3 4 6 0 e 3 4 9 5 4 5 2 7 e 8 8 2 2 3 6 6 2 a 0 3 5 1 2 9 3 8 a 9 a 2 8 a b 5 7 e 7 f 0 a 8 e c 2 9 8 f 3 6 7 4 a 8 9 c 3 6 7 6 d d 8 6 5 3 1 c 1 f e f b 4 e 7 6 d 4 9 c c 3 1 d c 0 7 a 1 a 6 8 c 1 4 9 d d 0 8 9 6 7 e 6 f d 7 f 6 1 3 5 a 9 d f f f c b f b 6 5 3 7 d c 0 5 1 b 6 0 f 6 3 0 e d 1 c d 3 f 7 6 8 b b 0 0 2 4 a 8 e 9 9 8 7 5 2 a b 9 e f 6 f 4 c 3 0 c 6 5 C : U s e r s % U S E R N A M E % A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p I E x p l o r e r U p d a t e . l n k % A P P D A T A % M i c r o s o f t s v c h o s t . e x e [ H K C U S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n S h e l l ]   =   “ e x p l o r e r . e x e , % A P P D A T A % M i c r o s o f t s v c h o s t . e x e ” [ H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d D e l e g a t e E x e c u t e ]   =   “ ” [ H K C U S o f t w a r e C l a s s e s m s - s e t t i n g s s h e l l o p e n c o m m a n d ( d e f a u l t ) ]   = * 参 考 来 源 ： 参 考 来 源 ： G D a t a ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理