搜索

[15540] 2020-06-27_Himera与AbSent-Loader利用COVID-19传播恶意软件

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-27_Himera与AbSent-Loader利用COVID-19传播恶意软件 H i m e r a 与 A b S e n t - L o a d e r 利 用 C O V I D - 1 9 传 播 恶 意 软 件 A v e n g e r   F r e e B u f   2 0 2 0 - 0 6 - 2 7 C O V I D - 1 9   疫 情 的 大 流 行 给 了 网 络 攻 击 者 可 乘 之 机 ， 很 多 恶 意 软 件 借 机 通 过 疫 情 主 题 进 行 传 播 和 感 染 ， 疫 情 的 大 流 行 给 了 网 络 攻 击 者 可 乘 之 机 ， 很 多 恶 意 软 件 借 机 通 过 疫 情 主 题 进 行 传 播 和 感 染 ， H i m e r a   和 和   A b S e n t - L o a d e r   也 不 例 外 。 也 不 例 外 。 介 绍 介 绍 正 在 有 犯 罪 组 织 利 用 有 关 《 家 庭 和 医 疗 休 假 法 案 》 （ F M L A ） 的 要 求 进 行 恶 意 软 件 的 传 播 。 这 些 电 子 邮 件 与   H i m e r a   和   A b s e n t - L o a d e r   有 关 ： 通 常 来 说 ， L o a d e r   是 专 门 将 其 他 恶 意 软 件 的 代 码 加 载 到 失 陷 主 机 中 的 。 有 时 候   L o a d e r   也 会 进 行 信 息 窃 取 ， 即 使 这 已 经 不 应 该 由 它 们 来 做 了 。 A b s e n t - L o a d e r   就 属 于 会 进 行 窃 密 的 这 一 类 ， 事 实 上 ， 失 陷 主 机 的 信 息 会 不 断 在 地 下 市 场 进 行 出 售 ， 通 常 是 由 其 他 有 组 织 的 犯 罪 分 子 或 商 业 竞 争 对 手 购 买 。 技 术 分 析 技 术 分 析 攻 击 行 动 使 用 的 样 本 首 先 是   W o r d   文 档 ， 该 文 档 拉 取 可 执 行 文 件 ， 然 后 删 除 另 一 个 可 执 行 文 件 并 进 行 重 命 名 逃 避 检 测 。 完 整 感 染 链 如 下 所 示 ： 电 子 邮 件 包 含   W o r d   文 档 附 件 ， 如 下 所 示 ： 文 件 名 称 文 件 名 称 C o v i d - 1 9 - P E S A N T A T I O N . d o c 哈 希 值 9 7 F A 1 F 6 6 B D 2 B 2 F 8 A 3 4 A A F E 5 A 3 7 4 9 9 6 F 8 威 胁 名 称 H i m e r a   L o a d e r   D r o p p e r 文 件 大 小 9 5 , 4   K B   ( 9 7 . 7 4 5   b y t e ) 文 件 类 型 M i c r o s o f t   W o r d   文 档 s s d e e p 1 5 3 6 : 7 f V m P S i R O 8 c O V 8 x C c o H r Z v I d T Z 2 D S X M q c I 3 i L 5 P E s 8 V l b e H 0 b t G D Y L l N q 2 l + S E g : 7 f V z 8 z y U H l v I d 7 H 3 i L 5 M V l b e H G k Q v q T U 该 文 档 不 利 用 任 何 宏 代 码 或 漏 洞 ， 而 是 将 整 个 可 执 行 文 件 作 为 对 象 嵌 入 文 档 中 。 因 此 ， 一 旦 用 户 点 击 代 表 可 执 行 文 件 的 恶 意 图 表 就 允 许 文 档 执 行 名 为   H i m e r a L o a d e r . e x e   的 恶 意 文 件 。 文 件 名 称 文 件 名 称 H i m e r a L o a d e r . e x e 哈 希 值 4 6 2 0 C 7 9 3 3 3 C E 1 9 E 6 2 E F D 2 A D C 5 1 7 3 B 9 9 A 威 胁 名 称 二 阶 段   D r o p p e r 文 件 大 小 1 4 3   K B   ( 1 4 6 . 9 4 4   b y t e ) 文 件 类 型 可 执 行 文 件 文 件 信 息 M i c r o s o f t   V i s u a l   C + +   8 s s d e e p 3 0 7 2 : j q W 9 i A a y y e n y l z x 0 / 2 g J U S U Z s n O A / T t Y L e E o W j 5 P x J h Q Q e S H 1 p N G m H o h u r C M S i B f : j q W 9 i A a y y e n y l z x 0 / 2 g J U S U Z s n J / T K L d 在 分 析   H i m e r a L o a d e r . e x e   时 ， 我 们 注 意 到 恶 意 代 码 加 载 过 程 中 创 建 了 一 个 非 常 有 特 色 的 互 斥 量   ： 此 外 ， 该 样 本 使 用 了 一 些 经 典 的 反 分 析 技 巧 ， 例 如   、   与   。 如 果 存 在 调 试 器 ， 将 会 执 行 不 同 的 代 码 。 函 数 G e t S t a r t u p I n f o W   会 检 索 在 创 建 调 用 进 程 时 指 定 的   S T A R T U P I N F O   结 构 体 数 据 ， 该 函 数 以 一 个 指 向   S T A R T U P I N F O   结 构 体 的 指 针 作 为 参 数 ， 该 结 构 体 接 收 启 动 信 息 且 不 返 回 信 息 。 H i m e r a L o a d e r   v 1 . 6 s D e b b u g e r P r e s e n t I s P r o c e s s o r F e a t u r e P r e s e n t G e t S t a r t u p I n f o W
H i m e r a   L o a d e r   通 过 所 有 反 分 析 检 查 时 ， 它 将 会 从     拉 取 另 一 个 二 进 制 文 件 。 该 服 务 器 由 俄 罗 斯 托 管 服 务 提 供 商     提 供 。 A b S e n t - L o a d e r 通 过   U R L   下 载 的 文 件 如 下 所 示 ： 文 件 名 称 文 件 名 称 s m s s 1 . e x e 文 件 哈 希 4 D 2 2 0 7 0 5 9 F E 8 5 3 3 9 9 C 8 F 2 1 4 0 E 6 3 C 5 8 E 3 威 胁 名 称 D r o p p e r / I n j e c t o r 文 件 大 小 0 , 9 9   M B   ( 1 . 0 4 7 . 0 4 0   b y t e ) 文 件 类 型 可 执 行 文 件 文 件 信 息 M i c r o s o f t   V i s u a l   C + +   8 s s d e e p 2 4 5 7 6 : + 9 d + U O b a l b l s + r c a N + c F s y Q I D H x 2 J r j D w c 9 b m f R i H w l : + 9 d + U O b a V z r c a N + c K y p D H x 2 J r / w Y b m J d 当     执 行 时 ， 将 会 复 制 自 身 到     路 径 下 的 新 文 件     中 ， 并 且 创 建 计 划 任 务 以 维 持 持 久 化 。 此 外 ， 该 恶 意 软 件 还 使 用 了 一 些 有 趣 的 反 调 试 技 术 ， 例 如   。 将 两 个 值 相 减 ， 结 果 放 置 在   E A X   寄 存 器 中 。 在     指 令 后 ， 减 去 第 一 个   G e t T i c k C o u n t   A P I   调 用 的 结 果 ， 并 执 行 第 二 个 调 用 的 结 果 。 然 后 ， 恶 意 软 件 每 十 五 分 钟 建 立 一 次   T C P   连 接 。 这 些 连 接 被 定 向 到 相 同 服 务 提 供 商 运 营 的 同 一 主 机 （ 1 9 5 . 2 . 9 2 . 1 5 1 ） ， 但 此 时 将   P O S T   请 求 发 送 到   。 该   P a y l o a d   是   A b S e n t - L o a d e r   的 新 版 本 ， 该 恶 意 软 件 缺 乏 现 代 恶 意 软 件 的 高 级 功 能 ， 但 仍 然 足 够 复 杂 到 可 以 保 持 对 失 陷 主 机 的 持 久 化 。 结 论 结 论 在 这 个 特 定 的 时 期 ， 网 络 空 间 中 公 司 和 人 员 的 风 险 越 来 越 大 。 攻 击 者 正 在 利 用 疫 情 的 流 行 ， 通 过 所 有 可 能 的 方 式 来 赚 钱 。 我 们 强 烈 建 议 公 司 应 该 增 强 网 络 安 全 防 御 能 力 ， 来 抵 御 各 种 不 同 的 网 络 攻 击 。 I O C 9 7 F A 1 F 6 6 B D 2 B 2 F 8 A 3 4 A A F E 5 A 3 7 4 9 9 6 F 8 4 6 2 0 C 7 9 3 3 3 C E 1 9 E 6 2 E F D 2 A D C 5 1 7 3 B 9 9 A 4 D 2 2 0 7 0 5 9 F E 8 5 3 3 9 9 C 8 F 2 1 4 0 E 6 3 C 5 8 E 3 h t t p : / / 1 9 5 . 2 . 9 2 . 1 5 1 / a d / d a / d r o p / s m s s . % 5 D e x e [ h t t p : / / 1 9 5 . 2 . 9 2 . 1 5 1 / a d / d a / d r o p / s m s s . e x e ] ( h t t p : / / 1 9 5 . 2 . 9 2 . 1 5 1 / a d / d a / d r o p / s m s s . e x e ) V D S i n a . r u s m m s . e x e % T E M P % w i n s v c h o s t . e x e G e t T i c k c o u n t c a l l   e a x / a d / d a / g a t e . p h p
h t t p : / / 1 9 5 . 2 . 9 2 . 1 5 1 / a d / d a / g a t e . % 5 D p h p Y a r a 参 考 来 源 参 考 来 源 h t t p s : / / y o r o i . c o m p a n y / r e s e a r c h / h i m e r a - a n d - a b s e n t - l o a d e r - l e v e r a g e - c o v i d 1 9 - t h e m e s / * 本 文 作 者 ： 本 文 作 者 ： A v e n g e r   ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 i m p o r t   " p e "   i m p o r t   " m a t h "   r u l e   H i m e r a L o a d e r _ M a y 2 0 2 0 {         m e t a :             d e s c r i p t i o n   =   " Y a r a   R u l e   f o r   H i m e r a L o a d e r V 1 . 6 "             a u t h o r   =   " C y b a z e   Z l a b _ Y o r o i "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 5 - 2 9 "             t l p   =   " w h i t e "             S H A 2 5 6   =   " b 6 9 4 e e c 4 1 d 6 a 7 1 b 2 7 b b 1 0 7 9 3 9 c 2 6 2 e d 6 c 7 a 5 f 4 9 1 9 c 3 3 f 1 5 2 7 4 7 b 9 c d 7 8 8 1 b 1 b 7 4 "             c a t e g o r y   =   " i n f o r m a t i o n a l "         s t r i n g s :                         $ a 1   =   { 7 4   ? ?   8 5   C E   7 5   2 6   E 8   ? ?   ? ?   ? ?   ? ?   8 B   C 8   3 B   C F }                   $ a 2   =   { 6 A   0 7   0 F   B 7   D 0   8 D   7 D   E 0   5 9   3 3 }                         $ a 3   =   " m s c o r e e . d l l "   w i d e                     $ a 4   =   " K V i K Z j K ] E Z A ^ y G @ J A "         c o n d i t i o n :                 u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   a l l   o f   t h e m } r u l e   A b s e n t L o a d e r _ m a y 2 0 2 0 {           m e t a :                   d e s c r i p t i o n   =   " D e t e c t s   A b s e n t   L o a d e r   d i s t r i b u t e d   i n   C O V I D - 1 9   t h e m e "                   a u t h o r   =   " C y b a z e   @   Z - L a b "                   h a s h   =   " 4 D 2 2 0 7 0 5 9 F E 8 5 3 3 9 9 C 8 F 2 1 4 0 E 6 3 C 5 8 E 3 "                   l a s t _ u p d a t e   =   " 2 0 2 0 - 0 5 - 1 8   1 2 : 3 7 : 2 8 "                   t a g s   =   " D O C ,   E X E ,   F I L E ,   M A L ,   L O A D E R ,   C O V I D 1 9 "           s t r i n g s :                   $ s 1 =   { E 8   6 7   0 5   0 0   0 0   E 9   7 A   F E   F F   F F   5 5   8 B   E C   6 A   0 0   F F   1 5 }                 $ s 2   =   " 9 + V P O 3 P t q o 5 V w j C H L B w x Y / D z O u o 7 p b K P h 8 j n G J H T e w l u f K P m 8 d E n i m S o U s 7 g u 8 v 4 U f m F d o x 3 L + d u 1 u k o D g q H m p R V R y 6 N E d g K d v r A 5 I X L P k p / b + Z 9 j Y p D x f y + r h D Q g J i G 9 g J b B M u S P a O 7 L S e u + h J y V + H y x I v M "   a s c i i   w i d e         c o n d i t i o n :                   u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d                                     u i n t 3 2 ( u i n t 3 2 ( 0 x 3 C ) )   = =   0 x 0 0 0 0 4 5 5 0   a n d                     p e . n u m b e r _ o f _ s e c t i o n s   = =   6   a n d                   $ s 1   a t   e n t r y p o i n t   a n d                 $ s 2   a n d                 f i l e s i z e   >   9 0 0 K B   a n d                 p e . i m p h a s h ( )   = =   " 1 d c 0 c c a b 6 6 c c b 6 a 7 a 1 d b 9 5 e 9 0 3 5 7 a a 9 c "   a n d                 p e . s e c t i o n s [ 5 ] . n a m e   = =   " . D A T A "   a n d                 m a t h . e n t r o p y ( 0 ,   f i l e s i z e )   > =   6 }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理