搜索

[15660] 2020-07-28_GuLoader恶意软件下载器：利用“新冠肺炎”钓鱼到“顺丰速运”钓鱼

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-28_GuLoader恶意软件下载器：利用“新冠肺炎”钓鱼到“顺丰速运”钓鱼 G u L o a d e r 恶 意 软 件 下 载 器 ： 利 用 “ 新 冠 肺 炎 ” 钓 鱼 到 “ 顺 丰 速 运 ” 钓 鱼 M i c h a e l _ H a c k e r   F r e e B u f   2 0 2 0 - 0 7 - 2 8 事 件 概 述 事 件 概 述 G u L o a d e r 是 一 个 使 用 V B 语 言 编 写 的 恶 意 软 件 下 载 器 ， 并 且 常 常 将 最 终 交 付 的 恶 意 文 件 托 管 到 共 享 网 盘 上 ， 例 如 谷 歌 的 G o o g l e   D r i v e 、 微 软 的 O n e D r i v e 和 M e d i a F i r e 等 。 它 们 常 常 交 付 的 恶 意 软 件 包 括 L o k i B o t 、 F o r m b o o k 和 A g e n t   T e s l a 等 。 G u L o a d e r 程 序 本 身 具 有 很 复 杂 的 流 程 和 对 抗 功 能 ， 以 便 阻 止 安 全 人 员 进 行 分 析 。 今 年 3 月 份 ， 在 国 内 新 冠 肺 炎 严 峻 的 时 期 ， 马 莲 曾 经 发 布 过 利 用 “ 新 冠 疫 情 ” 话 题 钓 鱼 邮 件 传 播 此 恶 意 软 件 的 文 章 ， 另 外 G o r g o n   A P T 组 织 也 利 用 G u L o a d e r 恶 意 软 件 下 载 器 下 发 F o r m b o o k 窃 密 木 马 ， 并 且 就 两 者 还 做 了 相 关 的 对 比 分 析 ， 详 细 见 参 考 信 息 处 链 接 。 本 次 样 本 在 较 早 时 间 已 经 获 取 ， 由 于 杂 七 杂 八 的 事 情 一 直 没 有 写 相 关 的 文 章 报 道 。 关 于 此 样 本 的 分 析 已 经 有 其 他 安 全 厂 商 进 行 分 析 发 布 ， 之 所 以 自 己 还 要 码 一 下 ， 马 莲 认 为 此 事 件 仍 值 得 大 家 关 注 ， 此 恶 意 程 序 仍 然 在 处 在 活 跃 阶 段 并 且 检 测 率 也 相 对 较 低 。 另 外 该 版 本 的 G u L o a d e r 恶 意 软 件 下 载 器 较 之 前 版 本 新 增 了 一 些 对 抗 功 能 。 事 件 分 析 事 件 分 析 本 次 分 析 的 G u L o a d e r 恶 意 软 件 下 载 器 是 通 过 包 含 有 “ 顺 丰 速 运 ” 的 钓 鱼 邮 件 进 行 传 播 的 ， 攻 击 对 象 主 要 面 向 我 国 用 户 。
在 之 前 获 取 的 “ 新 冠 肺 炎 ” 话 题 相 关 的 钓 鱼 邮 件 都 是 英 文 版 ， 主 要 还 是 面 向 英 语 地 区 的 国 家 ， 本 次 的 钓 鱼 邮 件 使 用 中 文 语 言 并 且 有 明 显 的 地 区 性 攻 击 。 该 样 本 仍 然 是 使 用 与 之 前 同 样 图 标 的 可 执 行 文 件 ， 使 用 V B 语 言 。 具 体 信 息 如 下 ： 动 态 分 配 内 存 ， 将 s h e l l c o d e 复 制 到 相 关 区 域 ， 然 后 跳 转 执 行 。
新 增 对 抗 功 能 新 增 对 抗 功 能 1 .   利 用 Z w Q u e r y V i r t u a l M e m o r y 函 数 对 虚 拟 内 存 进 行 查 询 ， 内 存 查 询 的 区 域 为 0 x 0 0 0 0 1 0 0 0 ~ 0 x 7 F F F F 0 0 0 。 如 果 在 该 内 存 中 查 找 到 和 虚 拟 化 环 境 相 关 的 字 符 串 时 ， 则 会 终 止 进 程 。
在 查 询 过 程 中 以 内 存 对 齐 0 x 1 0 0 0 进 行 依 次 查 询 。 如 果 找 到 则 说 明 在 虚 拟 机 环 境 中 ， 则 会 解 密 一 段 字 符 串 ， 提 供 给 后 续 的 弹 窗 提 示 使 用 。 然 后 调 用 M e s s a g e B o x 函 数 弹 窗 提 示 程 序 运 行 在 虚 拟 机 环 境 ， 最 后 结 束 进 程 。
2 .   枚 举 顶 层 窗 口 句 柄 值 ， 如 果 该 值 小 于 0 x 0 C ， 则 会 终 止 进 程 。 3 .   检 测 Q e m u 环 境 ， 通 过 C r e a t e F i l e 的 方 式 进 行 检 查 是 否 存 在 相 关 文 件 。 其 他 对 抗 分 析 其 他 对 抗 分 析 （ 具 体 详 细 技 术 说 明 可 参 考 之 前 的 分 析 文 章 ， 见 参 考 信 息 处 ） 1 .   修 改 调 试 相 关 函 数 代 码 ， 以 便 阻 止 进 行 附 加 分 析 。
2 .   设 置 Z w S e t I n f o r m a t i o n T h r e a d 函 数 的 参 数 为 0 x 1 1 。 3 .   多 次 检 测 是 否 存 在 硬 件 断 点 。
最 后 这 些 检 测 都 过 去 之 后 ， 将 会 进 行 注 入 操 作 ， 然 后 从 托 管 站 点 下 载 恶 意 软 件 ， 如 远 控 木 马 和 窃 密 木 马 等 ， 这 与 之 前 版 本 的 G u L o a d e r 功 能 是 一 样 的 。
解 决 方 案 解 决 方 案 1 . 请 勿 点 击 不 明 确 、 不 知 发 件 人 的 邮 件 中 的 链 接 和 附 件 ， 如 快 递 单 、 订 货 单 或 者 信 息 确 认 单 等 尤 其 值 得 注 意 。 2 . 及 时 升 级 安 全 产 品 病 毒 码 版 本 ， 以 便 可 以 及 时 查 杀 相 关 的 恶 意 软 件 。 3 . 定 时 修 改 和 增 强 自 己 网 盘 密 码 ， 以 防 止 自 己 的 网 盘 被 黑 客 利 用 。 参 考 信 息 参 考 信 息 G o r g o n   A P T 组 织 在 行 动 ： 从 G o o g l e   D r i v e 到 F o r m b o o k 窃 密 木 马 利 用 新 冠 肺 炎 疫 情 话 题 传 播 F o r m B o o k 窃 密 木 马 厂 商 报 道 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理