搜索

[28624] 2020-10-05_Excel4.0宏武器化的演变

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-10-05_Excel4.0宏武器化的演变 E x c e l   4 . 0 宏 武 器 化 的 演 变 O t s 安 全   2 0 2 0 - 1 0 - 0 5 发 贴 者   詹 姆 斯 H A U G H O M 和 斯 特 凡 诺 O R T O L A N I   O N   2 0 2 0 年 6 月 2 日 E x c e l   4 . 0 （ X L 4 ） 宏 在 攻 击 者 中 越 来 越 流 行 ， 因 为 安 全 供 应 商 正 努 力 发 挥 追 赶 作 用 并 正 确 检 测 它 们 。 该 技 术 为 攻 击 者 提 供 了 一 种 简 单 可 靠 的 方 法 来 在 目 标 网 络 上 立 足 ， 因 为 它 仅 表 示 对 E x c e l 合 法 功 能 的 滥 用 ， 并 且 不 依 赖 于 任 何 漏 洞 或 漏 洞 利 用 。 对 于 许 多 组 织 而 言 ， 将 其 列 入 黑 名 单 并 不 是 一 个 可 行 的 解 决 方 案 ， 并 且 标 记 这 些 样 本 的 任 何 签 名 必 须 足 够 精 确 ， 以 免 触 发 合 法 使 用 此 功 能 的 文 件 。 由 于 这 是 具 有 3 0 年 历 史 的 功 能 ， 去 年 才 被 攻 击 者 大 规 模 发 现 和 利 用 ， 因 此 许 多 安 全 供 应 商 目 前 没 有 适 当 的 检 测 机 制 来 触 发 这 些 样 本 ， 并 无 法 为 这 种 类 型 建 立 可 靠 的 签 名 。 进 攻 不 是 一 件 容 易 的 事 。 L a s t l i n e 威 胁 研 究 小 组 已 经 观 察 到 了 数 千 种 利 用 此 技 术 的 样 本 ， 并 且 在 过 去 5 个 月 以 上 的 时 间 内 一 直 在 监 视 和 跟 踪 趋 势 。 拦 截 这 些 样 本 已 提 供 了 宝 贵 的 数 据 ， 可 用 于 建 立 统 计 数 据 ， 识 别 趋 势 ， 发 现 异 常 值 以 及 跟 踪 活 动 。 我 们 能 够 将 样 本 聚 类 为 不 同 的 波 ， 这 清 楚 地 显 示 了 该 技 术 如 何 随 着 时 间 的 发 展 而 变 得 更 加 复 杂 和 回 避 。 由 于 X L 4 宏 代 表 了 某 种 “ 未 知 领 域 ” ， 恶 意 软 件 作 者 和 安 全 研 究 人 员 每 天 都 在 发 现 新 发 现 ， 从 而 推 动 了 该 技 术 的 发 展 ， 并 确 定 了 逃 避 检 测 和 混 淆 其 代 码 的 方 式 。 这 些 攻 击 者 采 用 的 技 术 包 括 逃 避 自 动 沙 盒 分 析 和 基 于 签 名 的 检 测 的 方 法 ， 以 及 由 恶 意 软 件 分 析 师 和 反 向 工 程 师 执 行 的 动 手 分 析 。 如 前 所 述 ， 这 些 技 术 似 乎 在 波 浪 中 浮 出 水 面 ， 每 个 新 波 浪 都 在 前 一 个 波 浪 或 群 集 的 基 础 上 引 入 新 技 术 。 我 们 在 2 月 观 察 到 的 第 一 波 样 本 中 使 用 的 技 术 仍 在 今 天 发 现 的 样 本 中 得 到 利 用 。 在 此 博 客 文 章 中 ， 我 们 将 分 解 发 现 的 每 种 新 技 术 ， 并 解 释 每 种 显 着 ， 有 效 或 无 效 的 原 因 ， 从 而 详 细 描 述 每 个 波 动 和 集 群 。 我 们 在 2 月 观 察 到 的 第 一 波 样 本 中 使 用 的 技 术 仍 在 今 天 发 现 的 样 本 中 得 到 利 用 。 在 此 博 客 文 章 中 ， 我 们 将 分 解 发 现 的 每 种 新 技 术 ， 并 解 释 每 种 显 着 ， 有 效 或 无 效 的 原 因 ， 从 而 详 细 描 述 每 个 波 动 和 集 群 。 我 们 在 2 月 观 察 到 的 第 一 波 样 本 中 使 用 的 技 术 仍 在 今 天 发 现 的 样 本 中 得 到 利 用 。 在 此 博 客 文 章 中 ， 我 们 将 分 解 发 现 的 每 种 新 技 术 ， 并 解 释 每 种 显 着 ， 有 效 或 无 效 的 原 因 ， 从 而 详 细 描 述 每 个 波 动 和 集 群 。 执 行 摘 要 执 行 摘 要 通 过 对 数 千 个 样 本 进 行 聚 类 并 对 每 个 聚 类 进 行 深 入 的 代 码 级 分 析 ， 我 们 可 以 直 观 地 看 到 并 见 证 此 威 胁 的 演 变 。 我 们 发 现 ， 大 约 每 1 - 2 周 就 会 出 现 一 波 新 样 本 ， 每 个 样 本 都 比 上 一 个 样 本 更 易 懂 和 复 杂 。 所 有 这 些 浪 潮 似 乎 都 建 立 在 其 前 身 的 基 础 上 ， 通 过 在 已 使 用 的 技 术 之 上 引 入 新 技 术 来 扩 展 其 功 能 。 这 些 簇 的 大 小 表 明 ， 这 些 样 本 是 通 过 某 种 工 具 箱 或 文 档 生 成 器 生 成 的 ， 因 为 这 些 样 本 彼 此 之 间 非 常 相 似 ， 以 至 于 它 们 之 间 没 有 关 联 。 逃 避 例 程 和 模 糊 处 理 是 主 要 的 发 展 领 域 ， 因 为 这 些 示 例 的 基 本 功 能 保 持 不 变 - 下 载 并 调 用 更 持 久 的 有 效 负 载 ， 例 如 E X E 或 D L L 文 件 。 介 绍 介 绍 E x c e l   4 . 0 或 X L M 宏 是 M i c r o s o f t   E x c e l 的 一 项 具 有 3 0 年 历 史 的 功 能 ， 在 恶 意 软 件 作 者 和 攻 击 者 中 ， 尤 其 是 在 过 去 一 年 中 ， 这 种 功 能 已 得 到 越 来 越 多 的 欢 迎 （ 请 参 见 图 1 ） 。 攻 击 者 积 极 地 滥 用 这 种 类 型 的 宏 代 码 并 将 其 武 器 化 ， 以 提 供 其 他 更 持 久 的 恶 意 软 件 。 使 这 项 技 术 有 效 的 原 因 是 ， 就 像 更 流 行 和 最 新 的 V B A 宏 一 样 ， E x c e l   4 . 0 宏 是 合 法 E x c e l 功 能 的 组 成 部 分 ， 因 此 永 远 不 会 被 禁 用 ， 因 为 它 们 经 常 用 于 良 性 商 业 目 的 。 例 如 ， 在 许 多 电 子 表 格 中 都 使 用 常 用 的 S U M 函 数 来 获 取 一 系 列 单 元 格 的 总 和 。 这 种 类 型 的 宏 通 常 称 为 “ 公 式 ” 。 图 图 1 ： ： 使 用 X L 4 宏 检 测 到 六 个 月 的 攻 击 。 该 技 术 之 所 以 有 效 ， 是 因 为 尽 管 这 是 一 项 旧 功 能 ， 但 安 全 供 应 商 可 能 尚 未 设 计 出 针 对 此 类 攻 击 的 检 测 技 术 。 最 重 要 的 是 ， 由 于 经 常 出 于 合 法 目 的 使 用 此 功 能 ， 因 此 组 织 可 能 永 远 无 法 禁 用 E x c e l 中 的 此 功 能 。 因 此 ， 恶 意 软 件 作 者 现 在 有 了 另 一 种 可 靠 的 初 始 访 问 方 法 ， 因 为 这 些 恶 意 文 档 已 通 过 电 子 邮 件 附 件 成 功 发 送 。 问 题 问 题 安 全 供 应 商 很 难 检 测 到 这 种 威 胁 ， 这 可 能 是 由 于 没 有 适 当 的 解 决 方 案 来 正 确 评 估 和 解 析 这 些 宏 在 E x c e l 文 档 中 的 存 储 格 式 和 结 构 [ 2 ] 。 这 些 宏 非 常 简 单 明 了 ， 易 于 创 建 ， 因 此 易 于 修 改 以 绕 过 基 于 签 名 的 检 测 。 宏 也 很 健 壮 ， 并 提 供 了 可 用 于 逃 避 分 析 的 各 种 功 能 ， 例 如 混 淆 最 终 的 有 效 负 载 ， 修 改 控 制 流 或 通 过 特 定 的 主 机 环 境 检 查 来 检 测 自 动 化 的 沙 箱 分 析 。 该 技 术 可 能 仍 将 保 持 相 关 性 ， 并 加 入 其 后 继 者 （ 即 V B A 宏 ） 作 为 一 种 广 泛 使 用 的 技 术 来 对 文 档 文 件 进 行 武 器 化 。 该 技 术 不 依 赖 错 误 ， 也 不 是 漏 洞 利 用 ， 而 只 是 滥 用 合 法 的 E x c e l 功 能 。 这 些 宏 可 以 设 置 为 自 动 执 行 ， 并 且 如 果 启 用 了 宏 ， 则 在 打 开 工 作 簿 后 立 即 运 行 。 由 于 这 是 一 个 未 知 的 领 域 ， 恶 意 软 件 的 作 者 和 研 究 人 员 仍 在 探 索 将 这 种 攻 击 技 术 武 器 化 的 可 能 性 和 功 能 的 深 度 。 贡 献 贡 献 L a s t l i n e 的 威 胁 研 究 小 组 已 经 对 五 千 个 X L 4 样 本 进 行 了 聚 类 和 分 析 ， 因 为 我 们 已 经 跟 踪 和 监 视 了 五 个 月 以 上 的 威 胁 。 我 们 能 够 将 这 些 样 本 聚 类 并 分 类 为 清 晰 的 波 浪 或 趋 势 。 这 些 示 例 的 大 部 分 似 乎 是 使 用 相 同 的 工 具 箱 或 文 档 生 成 器 创 建 的 ， 因 为 每 个 w a v e 都 是 在 先 前 的 基 础 上 构 建 的 ， 每 次 迭 代 都 增 加 了 新 功 能 。 此 附 加 功 能 通 常 由 更 复 杂 的 混 淆 或 规 避 例 程 组 成 。 这 些 第 1 阶 段 电 子 表 格 示 例 依 次 提 供 了 各 种 商 品 恶 意 软 件 家 族 ， 例 如 D a n a b o t ， Z L o a d e r ， T r i c k b o t ， G o z i 和 A g e n t   T e s l a 。
进 化 时 间 表 进 化 时 间 表 下 面 的 时 间 轴 （ 图 1 ） 显 示 了 这 些 宏 在 过 去 四 个 月 中 的 发 展 情 况 。 每 个 区 块 代 表 一 个 重 要 的 波 浪 或 星 团 ， 展 现 出 我 们 尚 未 大 规 模 观 察 到 的 新 行 为 和 新 功 能 。 我 们 将 在 以 下 各 节 中 详 细 介 绍 每 个 群 集 图 图 1 ： ：   E x c e l   4 . 0 宏 武 器 化 的 演 变 。 宏 武 器 化 的 演 变 。 进 化 分 解 进 化 分 解   丛 集 丛 集 1 ： ： 〜 〜 2 0 2 0 . 0 2 . 1 4 这 组 样 本 是 我 们 观 察 到 的 第 一 波 重 要 武 器 化 X L 4 文 档 。 这 些 样 本 都 包 含 一 个 隐 藏 的 宏 表 ， 其 中 包 含 有 效 负 载 ， 还 有 一 个 图 像 （ 请 参 见 图 2 ） ， 该 图 像 用 于 社 会 工 程 用 户 以 启 用 宏 代 码 。 此 集 群 中 引 入 的 技 术 将 被 随 后 的 几 乎 所 有 浪 潮 所 利 用 和 建 立 。 图 图 2 ： ： 嵌 入 式 图 像 吸 引 用 户 启 用 动 态 内 容 。 取 消 隐 藏 的 宏 表 会 显 示 有 效 负 载 （ 图 3 ） ， 该 负 载 不 会 以 任 何 方 式 混 淆 。 图 图 3 ： ： 隐 藏 的 宏 表 的 有 效 负 载 。 规 避 程 序 ： 规 避 程 序 ：
1 .   通 过 要 求 用 户 与 消 息 框 进 行 交 互 来 执 行 沙 箱 检 查 （ 图 4 和 5 ） 。 如 果 在 消 息 框 中 单 击 “ 确 定 ” ， 则 将 执 行 规 避 例 程 中 的 下 一 个 检 查 ， 否 则 宏 将 退 出 。 电 池 配 方 ： 图 图 4 ： ： 首 先 检 查 逃 避 程 序 。 图 图 5 ： ： 需 要 用 户 交 互 的 M e s s a g e B o x 。 2 . 再 次 使 用 G E T . W O R K S P A C E 函 数 [ 1 ] 开 始 其 他 沙 箱 逃 逸 操 作 （ 请 参 见 图 6 ） 。 此 功 能 将 提 供 有 关 正 在 查 看 E x c e l 电 子 表 格 的 环 境 的 信 息 。 两 项 检 查 分 别 是 鼠 标 功 能 （ 常 数 为 1 9 ） 和 音 频 功 能 （ 常 数 为 4 2 ） 。 如 果 不 满 足 这 两 个 条 件 之 一 ， 则 恶 意 软 件 退 出 。 图 图 6 ： ： 规 避 程 序 – 鼠 标 和 音 频 功 能 。 3 . 开 始 对 受 害 者 的 操 作 系 统 进 行 另 一 次 检 查 （ 图 7 ） 。 这 是 通 过 检 查 G E T . W O R K S P A C E 调 用 的 返 回 值 中 是 否 存 在 字 符 串 “   W i n d o w s ” 来 执 行 的 ： 图 图 7 ： ： 逃 避 例 程 – 检 查 W i n d o w s 环 境 。 下 载 ： 下 载 ： 可 通 过 W e b 查 询 下 载 其 他 有 效 负 载 （ 单 元 格 公 式 ） （ 图 8 和 9 ） 。 这 些 W e b 查 询 存 储 在 D C O N N （ 数 据 连 接 ） 记 录 类 型 [ 3 ] 中 。 图 图 8 ： ：   D C O N N 记 录 /   W e b 查 询 的 十 六 进 制 转 储 。
图 图 9 ： ：   E x c e l 中 的 W e b 查 询 / 数 据 连 接 。 来 自 该 网 络 连 接 的 数 据 将 被 写 入 映 射 到 名 称 f g s b 4 g 的 单 元 格 （ 在 图 8 的 十 六 进 制 转 储 底 部 显 示 ） ， E x c e l 名 称 管 理 器 显 示 的 范 围 为 $   Y   $   1 0 0 ： $   Y   $   1 0 3 （ 图 1 0 ） 。 图 图 1 0 ： ： 显 示 目 标 单 元 的 名 称 管 理 器 。 然 后 ， 在 两 个 单 元 之 间 创 建 一 个 小 循 环 ， 以 检 查 有 效 负 载 是 否 已 成 功 下 载 （ 图 1 1 ） 。 这 些 单 元 格 正 在 检 查 单 元 格 Y 1 0 3 中 任 何 位 置 的 字 符 串 “   L O S ” 。 这 是 因 为 在 下 载 的 单 元 格 公 式 有 效 负 载 的 末 尾 ， 恶 意 软 件 会 调 用 =   C L O S E （ ） 。 图 图 1 1 ： ： 检 查 下 载 是 否 成 功 丛 集 丛 集 2 ： ： 〜 〜 2 0 2 0 . 0 2 . 2 6 2 月 的 第 二 个 群 集 通 过 在 白 色 背 景 上 使 用 白 色 字 体 （ 在 图 1 2 中 以 红 色 显 示 ） 来 隐 藏 有 效 负 载 并 在 工 作 表 周 围 散 布 代 码 ， 从 而 增 加 了 较 小 的 混 淆 。 这 使 得 遵 循 控 制 流 和 识 别 重 要 的 代 码 块 对 于 手 动 分 析 更 具 挑 战 性 ， 但 是 对 于 动 态 分 析 不 会 造 成 重 大 问 题 ， 并 指 出 第 一 个 集 群 包 括 了 逃 避 动 态 分 析 的 重 大 尝 试 。
图 图 1 2 ： ： 分 散 的 负 载 （ 最 初 负 载 是 用 白 色 字 体 写 的 ） 。 类 别 类 别 3 ： ： 〜 〜 2 0 2 0 . 0 2 . 2 7 该 集 群 保 护 本 身 比 前 簇 的 ， 因 为 它 隐 藏 了 有 效 载 荷 在 v e r y h i d d e n 宏 表 而 不 是 隐 藏 的 宏 表 （ 注 意 ， 这 两 种 类 型 的 宏 表 的 是 E x c e l 中 记 载 的 功 能 ） 。 这 意 味 着 不 能 通 过 E x c e l 中 的 传 统 方 法 取 消 隐 藏 宏 表 ， 而 是 必 须 修 改 二 进 制 文 件 中 的 特 定 标 志 （ 请 参 见 图 1 4 ） 以 取 消 隐 藏 和 查 看 工 作 表 的 内 容 。 一 旦 被 隐 藏 ， 该 宏 似 乎 将 通 过 执 行 其 他 来 宾 O S 环 境 检 查 而 扩 展 到 集 群 1 的 动 态 分 析 规 避 例 程 中 （ 图 1 3 ） 。 这 两 项 新 检 查 还 使 用 了 前 面 提 到 的 G E T . W O R K S P A C E 函 数 ， 但 是 这 一 次 它 们 试 图 识 别 工 作 空 间 的 高 度 和 宽 度 。 此 检 查 确 保 该 群 集 中 工 作 空 间 点 的 显 示 大 小 （ 类 似 于 像 素 ） 大 于 最 小 值 7 7 0 × 3 8 0 。 图 图 1 3 ： ： 检 查 工 作 区 显 示 的 大 小 。 群 组 群 组 4 ： ： 〜 〜 2 0 2 0 . 0 3 . 0 6 该 集 群 引 入 的 新 技 术 包 括 建 立 指 向 三 个 不 同 文 件 的 路 径 ， 其 中 一 个 是 V B S 脚 本 ， 这 是 我 们 在 以 前 的 集 群 中 没 有 看 到 的 技 术 。 这 些 路 径 （ 图 1 5 ） 将 由 下 载 的 公 式 （ 有 效 负 载 ） 使 用 ， 使 用 与 前 面 描 述 的 相 同 的 D C O N N   W e b 查 询 。 图 图 1 5 ： ： 附 加 代 码 – 文 件 路 径 。 另 外 ， 不 是 使 用 F O R M U L A . F I L L 来 在 表 上 移 动 下 载 的 有 效 负 载 ， 而 是 使 用 F O R M U L A （ 图 1 6 ） 。 此 较 小 的 更 改 可 能 会 规 避 以 前 使 用 的 F O R M U L A 函 数 的 基 于 签 名 的 检 测 。
图 图 1 6 ： 用 ： 用 F O R M U L A 代 替 F O R M U L A . F I L L 类 别 类 别 5 ： ： 〜 〜 2 0 2 0 . 0 3 . 1 0 这 个 集 群 是 我 们 观 察 到 大 量 使 用 C H A R 函 数 的 第 一 批 样 本 （ 图 1 7 ） 。 此 函 数 将 整 数 转 换 为 其 相 应 的 A S C I I 字 符 。 例 如 ： C H A R （ 0 x 4 1 ） 解 析 为 “   A ” 。 解 析 这 些 字 符 ， 然 后 一 次 将 其 串 联 起 来 以 构 建 最 终 的 有 效 负 载 。 这 是 一 种 跨 越 多 种 文 件 格 式 和 语 言 的 常 见 混 淆 技 术 ， 但 这 是 我 们 第 一 次 看 到 E x c e l   4 . 0 宏 中 使 用 的 技 术 。 图 图 1 7 ： ：   C H A R 函 数 。 在 同 一 时 间 范 围 内 ， 我 们 还 观 察 到 了 第 一 批 大 样 本 示 例 ， 该 示 例 通 过 C A L L 函 数 （ 图 1 8 ） 而 不 是 先 前 提 到 的 D C O N N 下 载 方 法 直 接 调 用 W i n A P I （ U R L D o w n l o a d T o F i l e ） ， 该 方 法 很 可 能 会 用 于 规 避 先 前 版 本 的 静 态 检 测 。 下 载 技 术 。 图 图 1 8 ： ：   W i n A P I 用 法 –   U R L D o w n l o a d T o F i l e 。 组 组 6 ： ： 〜 〜 2 0 2 0 . 0 3 . 3 0 该 群 集 的 新 增 功 能 包 括 检 查 注 册 表 中 是 否 存 在 非 默 认 的 E x c e l   S e c u r i t y 设 置 ， 以 防 止 可 能 的 动 态 分 析 ， 以 及 使 用 W i n A P I 来 注 册 D L L 以 执 行 第 二 阶 段 有 效 负 载 。 图 1 9 中 的 代 码 显 示 将 生 成 本 地 实 用 程 序 r e g . e x e （ 请 参 见 图 2 0 ） 以 提 取 特 定 的 注 册 表 项 ， 并 将 其 写 入 磁 盘 上 的 注 册 表 文 件 （ < r a n d o m _ i n t e g e r >   . r e g ） 。
图 图 1 9 ： ： 反 混 淆 的 有 效 负 载 –   r e g . e x e 。 然 后 从 字 节 2 1 5 ： 4 7 0 中 读 取 此 注 册 表 文 件 （ < r a n d o m _ i n t e g e r >   . r e g ） （ 请 参 见 图 2 1 ） 。 此 读 取 的 目 的 是 查 找 并 存 储 恶 意 软 件 将 检 查 的 与 E x c e l   S e c u r i t y 相 关 的 注 册 表 设 置 。 图 图 2 1 ： ： 宏 读 取 注 册 表 文 件 。 在 这 种 情 况 下 ， 这 似 乎 是 对 “ 文 件 验 证 ” 设 置 的 检 查 ； 图 2 2 显 示 了 示 例 的 十 六 进 制 转 储 （ 切 出 2 5 5 个 字 节 ） 。 图 图 2 2 ： ： 文 件 验 证 设 置 的 十 六 进 制 转 储 。 然 后 ， 宏 会 检 查 是 否 设 置 了 安 全 性 设 置 ， 如 图 2 3 所 示 。 图 图 2 3 ： ： 检 查 标 志 是 否 已 设 置 。 群 集 群 集 7 ： ： 〜 〜 2 0 2 0 . 0 4 . 0 1 该 集 群 期 望 在 特 定 的 一 天 执 行 ， 因 为 它 在 去 模 糊 例 程 的 一 部 分 中 使 用 了 当 月 的 当 前 日 期 。 硬 编 码 的 整 数 （ 图 2 4 ） 将 从 该 月 的 当 前 日 期 减 去 ， 然 后 将 差 值 传 递 给 C H A R 函 数 。 这 些 样 本 是 在 4 月 1 0 日 创 建 的 ， 预 计 将 在 同 一 天 运 行 。 我 们 没 有 在 集 群 之 外 使 用 太 多 这 种 “ 日 间 ” 技 术 。 这 可 能 是 由 于 攻 击 者 在 这 一 波 攻 击 中 不 太 成 功 ， 可 能 是 因 为 受 害 者 在 预 定 执 行 日 期 的 第 二 天 检 查 了 电 子 邮 件 （ 打 开 文 档 ） 。
图 图 2 4 ： ： 要 解 码 的 硬 编 码 整 数 。 每 个 硬 编 码 的 整 数 都 从 当 月 的 日 期 中 减 去 7 （ 图 2 5 ） ， 然 后 传 递 给 c h a r 。 图 图 2 5 ： ： 获 取 月 中 的 某 天 并 添 加 7 。 图 2 6 显 示 了 去 混 淆 例 程 的 一 部 分 ， 其 中 A 列 中 的 值 被 解 码 并 连 接 为 一 个 字 符 串 。 图 图 2 6 ： 去 ： 去 模 糊 例 程 。 如 果 在 每 月 的 错 误 日 期 运 行 ， 则 X L 4 宏 将 不 会 进 行 反 模 糊 处 理 并 正 确 执 行 （ 图 2 7 显 示 了 反 模 糊 处 理 失 败 的 示 例 ） 。 图 图 2 7 ： ： 模 糊 处 理 失 败 （ 在 错 误 的 日 期 执 行 ） 。 用 适 当 的 值 在 P y t h o n 中 模 拟 此 行 为 将 显 示 预 期 的 去 模 糊 处 理 （ 请 参 见 图 2 8 ） 。 图 图 2 8 ： ： 模 拟 在 P y t h o n 中 实 现 的 反 混 淆 例 程 。 在 工 作 表 中 硬 编 码 正 确 的 值 （ 日 期 ） 可 以 使 代 码 正 确 地 去 模 糊 化 ， 如 图 2 9 所 示 ：
图 图 2 9 ： ： 预 期 的 去 混 淆 负 载 。 群 组 群 组 8 ： ： 〜 〜 2 0 2 0 . 0 4 . 1 4 与 之 前 的 群 集 一 样 ， 该 群 集 也 必 须 在 特 定 的 一 天 执 行 ， 但 是 添 加 了 新 的 检 查 以 查 询 字 体 大 小 和 行 高 （ 图 3 0 ） 。 G E T . C E L L 用 于 这 两 项 检 查 ， 单 元 格 A 1 （ 1 9 ） 中 文 本 的 字 体 大 小 以 及 行 高 （ 1 7 ） 。 这 可 能 会 检 查 电 子 表 格 是 否 已 被 篡 改 。 图 图 3 0 ： ： 获 取 单 元 格 字 体 大 小 和 行 高 。 这 些 操 作 的 结 果 将 写 入 单 元 A A 1 8 1 ， 该 单 元 将 在 反 混 淆 例 程 中 重 复 使 用 。 如 果 这 些 尺 寸 与 恶 意 软 件 作 者 所 期 望 的 不 完 全 相 同 ， 则 有 效 负 载 将 无 法 正 确 消 除 混 淆 ， 并 且 不 会 进 行 第 二 阶 段 下 载 。 类 别 类 别 9 ： ： 〜 〜 2 0 2 0 . 0 4 . 2 5 在 此 群 集 中 引 入 的 新 技 术 使 用 了 数 十 个 独 立 的 宏 表 （ 图 3 1 ） ， 而 所 有 以 前 的 群 集 仅 使 用 一 张 或 两 页 。 我 们 认 为 ， 这 是 为 了 使 样 本 与 良 性 工 作 簿 融 合 在 一 起 ， 后 者 比 恶 意 样 本 具 有 更 多 的 宏 表 。 它 也 可 以 用 来 减 慢 恶 意 软 件 分 析 人 员 的 速 度 ， 他 们 必 须 确 定 2 0 多 个 宏 表 中 有 效 负 载 的 位 置 （ 图 3 2 ） 。 图 图 3 1 ： ： 隐 藏 的 宏 表
图 图 3 2 ： ： 所 有 工 作 表 清 单 。 另 一 个 有 趣 的 特 性 是 ， 恶 意 软 件 作 者 将 其 命 名 为 A u t o _ O p e n 2 2 （ 图 3 3 ） ， 而 不 是 用 于 自 动 执 行 有 效 负 载 的 典 型 A u t o _ O p e n 名 称 （ 图 3 3 ） ， 该 名 称 仍 作 为 常 规 A u t o _ O p e n 例 程 执 行 。 图 图 3 3 ： ：   名 称 管 理 器 中 的 A u t o _ O p e n 2 2 群 组 群 组 1 0 ： ： 〜 〜 2 0 2 0 . 0 5 . 0 4 第 一 次 ， 我 们 观 察 到 隐 藏 名 称 被 利 用 来 隐 藏 大 型 群 集 中 E x c e l   4 . 0 宏 代 码 的 起 点 。 这 可 能 是 试 图 阻 止 分 析 师 和 自 动 化 解 决 方 案 进 行 静 态 解 析 和 分 析 的 尝 试 。 图 3 4 显 示 了 名 称 管 理 器 如 何 不 显 示 名 称 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理