搜索

[6591] 2020-03-24_风险提示金融界“开源霸主”木马Gozi家族携疫来袭

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-03-24_风险提示金融界“开源霸主”木马Gozi家族携疫来袭 风 险 提 示   |   金 融 界 “ 开 源 霸 主 ” 木 马 G o z i 家 族 携 疫 来 袭 E 安 全   2 0 2 0 - 0 3 - 2 4 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 Z i o n L a b 0 1 概 述 概 述 2 0 2 0 年 3 月 ， 安 恒 信 息 威 胁 情 报 中 心 在 明 御 A P T 攻 击 （ 网 络 战 ） 预 警 平 台 发 现 一 批 G o z i 远 控 木 马 以 疫 情 为 诱 饵 进 行 投 递 和 传 播 。 G o z i （ 又 被 称 为 u r s n i f ） 是 一 款 功 能 强 大 、 通 信 手 段 隐 蔽 的 远 控 木 马 ， 该 家 族 样 本 最 早 可 追 溯 到 2 0 0 7 年 的 Z e u S 和 S p y E y e 远 控 。 自 从 2 0 1 6 年 左 右 G o z i 远 控 被 开 源 后 ， 安 恒 信 息 在 2 0 1 7 年 、 2 0 1 8 年 曾 多 次 捕 获 过 该 家 族 木 马 的 活 跃 变 种 样 本 。 0 2 技 术 分 析 技 术 分 析 本 次 捕 获 的 诱 饵 文 档 中 内 置 了 宏 代 码 ， 背 景 图 片 显 示 为 文 档 加 密 ， 目 的 为 诱 导 用 户 允 许 宏 代 码 运 行 。 点 击 允 许 之 后 会 弹 出 虚 假 进 度 条 ， 最 终 提 示 解 密 完 毕 ， 实 际 后 台 已 经 开 始 执 行 恶 意 代 码 ， 有 较 强 迷 惑 性 ： 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
第 一 阶 段 第 一 阶 段 诱 饵 文 档 第 一 阶 段 的 执 行 目 的 为 显 示 虚 假 的 加 载 进 度 条 ， 用 于 迷 惑 用 户 ， 同 时 释 放 感 染 脚 本 ：
进 度 条 代 码 抄 自 网 络 来 源 的 开 源 项 目 ， 代 码 来 源 如 下 ： h t t p s : / / w o r d m v p . c o m / F A Q s / U s e r f o r m s / C r e a t e A P r o g r e s s B a r . h t m 宏 代 码 的 主 要 目 的 是 生 成 一 个 批 处 理 程 序 并 运 行 ： 待 拼 接 的 脚 本 代 码 被 隐 藏 在 一 个 窗 口 中 ：
最 终 拼 接 的 b a t 脚 本 如 下 ： 第 二 阶 段 第 二 阶 段 脚 本 执 行 后 进 入 第 二 阶 段 ， 此 阶 段 会 联 网 下 载 并 运 行 恶 意 D L L 文 件 。 执 行 的 b a t 脚 本 释 放 新 的 V B 脚 本 ， 并 利 用 r u n d l 3 2 执 行 所 下 载 的 恶 意 D L L 。 第 三 阶 段 第 三 阶 段
恶 意 动 态 链 接 库 本 质 上 是 u r s n i f 的 D r o p p e r 文 件 ， 触 发 后 进 入 第 三 执 行 阶 段 ， 该 阶 段 主 要 为 远 程 控 制 目 的 。 根 据 内 置 的 一 些 元 数 据 判 断 D r o p p e r 文 件 的 创 建 时 间 为 2 0 2 0 年 3 月 3 日 ， 同 时 也 包 含 了 一 些 特 征 字 符 串 ： 木 马 程 序 使 用 的 伪 装 信 息 如 下 ： 入 口 点 存 在 明 显 特 征 ：
所 有 使 用 的 函 数 都 被 进 行 了 保 护 ： 内 置 了 多 级 S h e l l C o d e ， 包 含 了 自 修 改 代 码 ：
另 一 段 S h e l l C o d e ： 最 终 从 . r d a t a 段 解 密 出 另 一 个 P E 文 件 ， 跳 转 到 入 口 点 执 行 ：
第 四 阶 段 第 四 阶 段 S h e l l C o d e 加 载 后 ， 从 内 存 释 放 第 四 阶 段 样 本 ， 此 阶 段 通 过 邮 槽 技 术 进 行 分 析 对 抗 ：
从 邮 槽 中 读 取 出 的 是 下 一 阶 段 抹 去 了 部 分 文 件 头 特 征 的 D L L :
第 五 阶 段 第 五 阶 段 利 用 邮 槽 技 术 释 放 的 第 五 阶 段 样 本 可 以 根 据 特 征 明 显 确 认 为 u r s n i f 样 本 ： 此 阶 段 的 执 行 中 ， 分 析 对 抗 技 术 采 用 的 是 h o o k 了 G e t P r o c A d d r e s s 到 a p p h e l p . d l l 的 s t u b G e t P r o c A d d r e s s 函 数 ： 利 用 “ . b s s ” 段 存 储 加 密 后 的 配 置 信 息 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理