搜索

[15877] 2020-09-21_从钓鱼邮件到窃密木马

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-09-21_从钓鱼邮件到窃密木马 从 钓 鱼 邮 件 到 窃 密 木 马 W e C h a t H u n t e r   F r e e B u f   2 0 2 0 - 0 9 - 2 1 0 x 0 0   前 言 前 言 在 做 样 本 分 析 的 时 候 ， 通 常 都 是 针 对 恶 意 软 件 进 行 分 析 。 这 种 属 于 样 本 分 析 ， 是 安 全 分 析 中 的 一 部 分 ， 但 也 是 比 较 关 键 的 一 部 分 。 样 本 分 析 是 安 全 分 析 人 员 与 恶 意 软 件 开 发 / 投 放 人 员 沟 通 最 直 接 的 桥 梁 。 但 是 很 明 显 ， 攻 击 并 不 是 直 接 就 是 从 恶 意 软 件 开 始 的 。 我 们 拿 到 的 恶 意 软 件 ， 可 能 是 鱼 叉 类 钓 鱼 邮 件 攻 击 精 准 投 放 ， 也 有 可 能 是 水 坑 类 攻 击 下 发 。 作 为 分 析 人 员 ， 除 了 分 析 看 到 的 这 个 恶 意 样 本 ， 也 应 该 关 注 整 个 攻 击 事 件 和 攻 击 背 景 的 分 析 。 0 x 0 1   样 本 背 景 样 本 背 景 笔 者 在 a p p . a n y . r u n 上 看 到 了 如 下 的 样 本 ： 样 本 链 接 为 ： h t t p s : / / a p p . a n y . r u n / t a s k s / 6 b 9 b a f 1 5 - b e 0 8 - 4 4 4 6 - a 0 7 c - b 1 3 0 8 1 3 0 d d 0 1 / 样 本 m d 5 ： 1 8 3 9 6 0 d 2 2 0 7 5 0 0 8 6 5 9 5 d 8 5 9 1 0 4 1 b d 3 e 7 样 本 原 始 名 称 ： E x t e r n a l R e t r i e v e d P l a t ă   r e s t a n t ă . m s g 根 据 多 家 翻 译 引 擎 显 示 ， 这 个 邮 件 的 名 称 应 该 是 罗 马 尼 亚 语 。 标 题 跟 付 款 、 金 额 相 关 。 目 前 只 知 道 应 该 是 针 对 罗 马 尼 亚 地 区 的 攻 击 ， 具 体 的 受 害 人 信 息 未 知 。 并 且 目 前 该 样 本 V T 上 没 有 相 关 信 息 ， 只 被 投 递 到 了 a p p . a n y . r u n 。
0 x 0 2   邮 件 诱 饵 邮 件 诱 饵 邮 件 内 容 如 下 翻 译 之 后 邮 件 内 容 如 下 ： E x t e r n a l ： [ 已 检 索 ] 剩 余 付 款 早 上 好 。 我 希 望 你 身 体 健 康 ， 生 意 兴 隆 。 附 件 中 的 证 据 是 你 方 确 认 的 逾 期 付 款 ， 因 此 我 们 将 通 知 银 行 立 即 付 款 。 热 烈 的 问 候 玛 丽 安 娜 · 普 拉 斯 卡 。 财 务 总 监 这 就 是 一 个 非 常 普 通 的 钓 鱼 邮 件 ， 目 标 没 有 针 对 性 ， 应 该 是 批 量 下 发 的 。 最 下 面 的 p d f 是 一 个 下 载 链 接 ， 下 载 地 址 如 下 。 h x x p [ : ] / / w w w . m e d i a f i r e . c o m / f i l e / m 3 m c x o b p y m p 9 d y 5 / P l a t a + r e s t a n t a [ . ] 7 z / f i l e
需 要 注 意 的 是 ， 这 里 的 m e d i a f i r e 并 不 是 恶 意 地 址 ， 而 是 一 个 免 费 的 托 管 机 构 ， 有 点 类 似 于 我 们 所 使 用 的 百 度 云 盘 这 里 很 明 显 ， 攻 击 者 是 将 后 续 的 p a y l o a d 放 到 了 第 三 方 平 台 中 ， 然 后 通 过 U R L 链 接 去 下 载 回 来 执 行 。
这 样 做 的 好 处 是 ， 可 以 节 约 一 定 的 攻 击 成 本 ， 且 不 容 易 被 溯 源 。 如 果 没 有 猜 错 的 话 ， 后 面 的 木 马 应 该 也 是 用 的 邮 件 的 方 式 来 传 数 据 ， 也 是 攻 击 者 免 费 申 请 的 邮 箱 。 这 个 地 址 还 可 以 正 常 访 问 ， 下 载 了 一 个 7 z 文 件 回 来 。 解 压 缩 后 的 文 件 是 一 个 e x e 文 件 命 名 为 P l a t a   r e s t a n t a . e x e 将 罗 马 尼 亚 语 翻 译 为 中 文 是 ： 重 新 付 款 . e x e 从 钓 鱼 邮 件 来 看 ， 钓 鱼 的 手 法 并 不 高 级 ， 就 是 靠 大 众 心 理 ， 散 发 这 种 可 能 会 有 人 感 兴 趣 的 邮 件 。 0 x 0 3   第 一 阶 段 第 一 阶 段 p a y l o a d 原 始 样 本 是 带 了 一 定 混 淆 的 ， 但 这 里 的 混 淆 很 好 解 ， 就 直 接 d e 4 d o t 去 混 淆 即 可 去 混 淆 之 后 ， 样 本 名 还 是 乱 序 韩 文 ， 但 类 名 和 方 法 名 已 经 显 示 正 常 了
这 里 需 要 注 意 ， 样 本 执 行 的 时 候 ， 首 先 执 行 的 不 是 7 0 行 的 M a i n 函 数 的 内 容 。 而 是 9 5 行 的 p u b l i c   s t a t i c   b y t e [ ]   B y t e s   =   C l a s s 0 . s m e t h o d _ 0 ( ) ; 原 因 很 简 单 ， 静 态 变 量 的 初 始 化 会 在 正 式 的 代 码 执 行 之 前 完 成 。 所 以 当 程 序 运 行 的 时 候 ， 会 首 先 将 各 个 静 态 变 量 赋 值 ， 这 里 9 5 行 处 ， 程 序 就 会 通 过 C l a s s 0 类 的 S m e t h o d _ 0 方 法 给 B y t e s 变 量 赋 值 。 S m e t h o d _ 0 方 法 是 直 接 返 回 了 一 个 大 的 数 组 。
分 别 在 9 5 行 这 里 和 M a i n 函 数 里 面 n e w   G C l a s s 0 ( ) . m e t h o d _ 0 ( ) ; 进 来 的 地 方 设 置 断 点 然 后 程 序 跑 起 来 ， 选 择 不 要 中 断 ， 程 序 会 首 先 命 中 9 5 行 的 断 点 F 1 0 直 接 跑 过 这 一 行 ， 拿 到 结 果
然 后 继 续 F 5 ， 让 程 序 中 断 在 s m e t h o d _ 0 中 这 里 可 以 看 到 ， 程 序 进 来 之 后 ， 直 接 就 是 通 过 一 个 循 环 对 刚 才 拿 到 的 B y t e s 变 量 进 行 操 作 。 操 作 完 成 之 后 ， 可 以 看 到 这 类 B y t e s 已 经 被 解 密 成 了 一 个 P E 文 件 ， 这 里 将 这 个 P E 文 件 给 赋 值 出 来
该 文 件 看 起 来 像 是 一 个 C # 的 D L L 。 这 里 基 本 可 以 知 道 ， 最 外 层 的 这 个 程 序 是 一 个 l o a d e r 。 用 于 解 密 P E 并 加 载 执 行 。 加 载 的 方 式 就 在 s m e t h o d _ 0 后 面 ， 使 用 反 射 委 托 加 载 ： 0 x 0 4   第 二 阶 段 第 二 阶 段 d l l 通 过 调 试 ， 这 里 可 以 知 道 ， 程 序 调 用 d l l 的 时 候 ， 会 调 用 a w r f s d g 类 下 面 的 a j 方 法 加 载 d l l 后 如 下
a j ( ) 函 数 的 调 用 逻 辑 是 这 样 的 1 .   通 过 A b s ( - 3 )   给 s w i t c h   c a s e 的 初 始 值 设 置 为 3 ， 执 行 c a s e   3 分 支 2 .   将 n u m 赋 值 为 2 ， 跳 转 到 I L _ 0 2 重 新 执 行 s w i t c h   ， 执 行 c a s e   0 分 支 。 3 .   跳 转 到 I L _ 4 A 执 行 b . a ( ) 4 .   如 果 b . a ( ) 执 行 失 败 ， 则 跳 转 到 最 后 执 行 f . a ( ) 5 .   如 果 b . a ( ) 执 行 成 ， 这 n u m 赋 值 为 2 ， 退 出 程 序 。
所 以 这 里 就 是 两 个 关 键 函 数 ， 一 个 是 b . a ( ) 一 个 是 f . a ( ) 程 序 过 来 之 后 ， 首 先 会 在 实 例 函 数 这 里 解 密 一 个 字 符 串 ， 然 后 等 待 2 5 s 然 后 过 来 ， 看 看 b . a ( ) 函 数 这 里 的 . a 是 一 个 解 密 函 数 ， 解 密 算 法 如 下 ， 这 里 是 解 密 了 e x e 后 缀 然 后 进 入 f . a ( ) 开 始 执 行 关 键 功 能 。 首 先 是 解 密 出 了 一 个 资 源 名 称
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理