搜索

[10270] 2016-07-06_如何逆向破解HawkEyekeylogger键盘记录器，进入攻击者邮箱？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-07-06_如何逆向破解HawkEyekeylogger键盘记录器，进入攻击者邮箱？ 如 何 逆 向 破 解 H a w k E y e   k e y l o g g e r 键 盘 记 录 器 ， 进 入 攻 击 者 邮 箱 ？ c l o u d s   F r e e B u f   2 0 1 6 - 0 7 - 0 6 这 一 切 要 从 一 次 恶 意 邮 件 攻 击 活 动 开 始 。 下 图 为 我 们 最 近 监 测 到 的 一 个 以 恶 意 文 件 为 发 送 附 件 的 邮 件 攻 击 ， 请 注 意 邮 件 信 这 一 切 要 从 一 次 恶 意 邮 件 攻 击 活 动 开 始 。 下 图 为 我 们 最 近 监 测 到 的 一 个 以 恶 意 文 件 为 发 送 附 件 的 邮 件 攻 击 ， 请 注 意 邮 件 信 息 中 的 英 语 写 作 水 平 是 多 么 差 劲 ， 其 实 ， 这 也 是 恶 意 邮 件 的 一 个 特 点 ， 还 请 收 件 人 提 高 警 惕 。 息 中 的 英 语 写 作 水 平 是 多 么 差 劲 ， 其 实 ， 这 也 是 恶 意 邮 件 的 一 个 特 点 ， 还 请 收 件 人 提 高 警 惕 。 邮 件 样 本 在 这 封 邮 件 中 其 附 件 以 “ . d o c ” 文 件 扩 展 名 结 尾 ， 但 其 实 这 是 一 个 R T F （ 富 文 本 ） 格 式 文 件 ， 文 件 被 嵌 入 了 一 个 精 心 构 造 的 c v e - 2 0 1 0 - 3 3 3 3 漏 洞 利 用 脚 本 。
漏 洞 产 生 原 因 为 微 软 o f f i c e 文 件 格 式 转 换 器 在 处 理 R T F 文 件 “ p f r a g m e n t s ” 参 数 属 性 时 存 在 栈 缓 冲 区 溢 出 ， 远 程 攻 击 者 可 以 借 助 特 制 的 R T F 数 据 执 行 任 意 代 码 ， 该 漏 洞 又 名 ” R T F 栈 缓 冲 区 溢 出 漏 洞 ” ， 但 微 软 官 方 已 在 5 年 前 就 已 修 复 了 漏 洞 。 被 加 密 混 淆 的 R T F 文 件 在 上 图 中 你 可 以 看 到 ， 漏 洞 利 用 代 码 中 的 s h e l l c o d e 字 段 被 模 糊 变 形 以 避 免 杀 毒 软 件 的 检 测 ， 在 经 过 代 码 提 取 、 清 理 和 解 密 之 后 ， 我 确 定 了 漏 洞 利 用 代 码 的 s h e l l c o d e 将 会 从 一 个 未 知 域 名 v o l a f i l e . i o 下 载 并 执 行 某 些 文 件 。 s h e l l c o d e   的 1 6 进 制 字 符 串
漏 洞 攻 击 负 载 下 载 的 可 执 行 文 件 经 过 分 析 ， 从 v o l a f i l e . i o   下 载 的 文 件 是 一 个 . N E T 可 执 行 文 件 ， 通 过 十 六 进 制 文 件 分 析 之 后 可 以 得 到 一 个 有 趣 的 线 索 ， 编 码 中 出 现 了 “ H a w k E y e k e y l o g g e r ” 字 段 。 H a w k e y e   键 盘 记 录 的 主 体 通 过 G O O G L E 搜 索 技 巧 ， 最 终 我 找 到 了 开 发 该 K e y l o g g e r 软 件 的 网 站 ， 在 网 站 上 ， 他 们 声 称 并 列 出 了 所 有 “ H a w k E y e k e y l o g g e r ” 具 备 的 “ 牛 X 的 功 能 ” 。 H a w k E y e   K e y l o g g e r   功 能 列 表 在 我 的 动 态 分 析 中 发 现 ， 该 K e y l o g g e r 在 一 个 名 为 % a p p d a t a % 的 文 件 夹 下 释 放 自 身 副 本 ， 启 动 一 个 名 为 w i n d o w s u p d a t e . e x e 的 程 序 为 运 行 进 程 ， 并 设 置 进 程 启 动 信 息 为 随 机 自 启 动 ， 实 现 与 系 统 同 时 启 动 。   K e y l o g g e r ’ 的 例 行 程 序 同 时 ， 该 K e y l o g g e r 也 在 受 感 染 的 系 统 中 释 放 以 下 文 件 ： % T e m p % s y s i n f o . t x t – 恶 意 程 序 的 执 行 路 径 恶 意 程 序 的 执 行 路 径 % A p p d a t a % p i d . t x t – 恶 意 进 程 恶 意 进 程 I D
% A p p d a t a % p i d l o c . t x t – 恶 意 程 序 可 执 行 文 件 的 位 置 恶 意 程 序 可 执 行 文 件 的 位 置 之 后 ， 我 想 通 过 观 察 K e y l o g g e r 的 网 络 外 联 活 动 以 获 取 其 远 程 管 理 控 制 I P 地 址 受 感 染 主 机 的 网 络 包 一 段 时 间 之 后 ， 被 K e y l o g g e r 感 染 的 主 机 就 开 始 向 攻 击 者 邮 箱 发 送 信 息 了 被 感 染 k e y l o g g e r 的 主 机 向 攻 击 者 远 程 控 制 管 理 邮 件 发 送 本 机 相 关 信 息     这 些 信 息 包 括 ： 计 算 机 名 称 （ 或 计 算 机 名 称 （ 或 C P U 信 息 ） 信 息 ） 本 地 日 期 和 时 间 本 地 日 期 和 时 间 系 统 语 言 系 统 语 言 安 装 的 操 作 系 统 安 装 的 操 作 系 统   系 统 开 发 平 台 系 统 开 发 平 台 操 作 系 统 版 本 操 作 系 统 版 本 系 统 内 存 系 统 内 存 开 发 框 架 开 发 框 架 系 统 权 限 系 统 权 限 默 认 浏 览 器 默 认 浏 览 器
安 装 的 防 火 墙 安 装 的 防 火 墙 内 部 内 部 I P 地 址 地 址 外 部 外 部 I P 地 址 地 址 电 子 邮 件 密 码 和 相 关 设 置 电 子 邮 件 密 码 和 相 关 设 置 浏 览 器 设 置 和 浏 览 器 设 置 和 F T P 密 码 密 码 如 前 所 述 ， 该 K e y l o g g e r 软 件 是 利 用 . N E T 框 架 编 写 的 ， 所 以 接 下 来 我 用 . N E T   编 译 器 I L S p y 来 完 成 这 项 任 务 。 H a w k e y e   k e y l o g g e r   反 编 译 代 码 我 把 “ H a w k E y e   k e y l o g g e r ” 开 发 网 站 上 声 称 具 备 的 “ 牛 X 的 功 能 ” ， 与 反 编 译 源 代 码 时 认 真 对 照 ， 可 以 肯 定 的 是 其 功 能 确 实 很 厉 害 。 这 以 下 就 是 其 具 备 的 功 能 ： 键 盘 记 录 ： 键 盘 记 录 程 序 剪 贴 板 操 作 记 录 ：  
剪 贴 板 操 作 例 行 程 序 窃 取 浏 览 器 、 邮 件 客 户 端 、 F T P 密 码 ， 它 还 试 图 窃 取 密 码 管 理 器 凭 据 和 系 统 密 码 ： 还 有 一 个 将 k e y l o g g e r 通 过 U S B 传 播 感 染 到 其 它 系 统 主 机 的 蠕 虫 程 序 ： U S B   感 染 程 序
它 还 针 对 在 线 游 戏 平 台 S t e a m 用 户 ， 通 过 删 除 电 脑 上 储 存 的 游 戏 配 置 数 据 和 登 录 信 息 ， 强 制 用 户 再 次 登 录 ， 然 后 利 用 键 盘 记 录 程 序 窃 取 用 户 的 登 录 密 码 。 S t e a m 游 戏 平 台 感 染 程 序 另 外 ， H a w k E y e   k e y l o g g e r 还 通 过 邮 件 反 弹 和 F T P 方 式 窃 取 被 感 染 系 统 的 桌 面 截 屏 ， 以 确 定 其 程 序 是 否 被 正 确 配 置 。 邮 件 发 送 程 序 攻 击 者 也 可 以 配 置 键 盘 记 录 软 件 ， 通 过 H T T P 通 道 上 传 被 盗 信 息 至 一 个 P H P 主 机 ， 但 这 部 分 代 码 似 乎 是 空 的 。 最 有 趣 的 是 我 在 反 编 译 代 码 中 发 现 了 一 个 名 为 f o r m 1 ( ) 的 C # 构 造 函 数 ， 这 就 是 H a w k E y e   k e y l o g g e r 软 件 的 配 置 存 储 函 数 ， 但 攻 击 者 使
用 了 b a s e 6 4 对 远 程 控 制 和 管 理 的 电 子 邮 件 和 F T P 信 息 进 行 了 加 密 隐 藏 。 k e y l o g g e r 配 置 信 息 但 是 ， 这 些 加 密 的 数 据 并 不 总 是 安 全 的 ， 特 别 是 当 反 编 译 源 代 码 中 就 可 以 看 出 解 密 程 序 来 时 解 密 函 数 调 用 下 图 就 是 解 密 函 数 ， 它 包 含 两 个 字 符 串 参 数 e n c r y p t e d   b y t e s 和 s e c r e t k e y , 密 钥 字 符 串 是 固 定 的 硬 编 码 h a w k s p y s o f t w a r e s
解 密 程 序 同 时 ， H a w k E y e   k e y l o g g e r 使 用 者 还 使 用 了 U n i c o d e 字 符 串   “ 0 9 9 u 7 8 7 9 7 8 7 8 6 ″ 对 密 码 字 符 串 进 行 加 盐 处 理 k e y l o g g e r   使 用 的 加 密 方 法 出 于 好 奇 ， 我 复 制 了 代 码 的 解 密 部 分 ， 并 进 行 了 相 应 修 改 ， 在 M S   V i s u a l S t u d i o 程 序 下 编 译 ， 最 终 解 密 成 功 ， 包 含 了 邮 件 和 F T P 账 户 密 码 （ 对 不 起 ， 我 需 要 对 解 密 信 息 进 行 模 糊 处 理 ） 经 过 解 密 的 攻 击 者 的 远 程 控 制 邮 箱 和 F T P 信 息 当 然 ， 最 终 我 还 是 好 奇 地 登 录 了 攻 击 者 的 远 程 控 制 管 理 邮 箱 。
攻 击 者 的 远 程 控 制 管 理 邮 箱 登 录 界 面 在 攻 击 者 的 控 制 管 理 邮 箱 里 ， 我 发 现 了 受 害 者 被 窃 取 的 电 子 邮 件 信 息 ， 并 尝 试 进 行 了 登 录 ， 让 人 惊 讶 的 是 ， 受 害 者 的 电 子 邮 件 系 统 中 被 设 置 了 邮 件 转 发 功 能 ， 受 害 者 所 有 的 收 发 邮 件 被 自 动 转 发 到 了 攻 击 者 的 另 外 一 个 邮 箱 s e e m a e x p o r t 3 @ g m a i l . c o m 。 受 害 者 邮 箱 系 统 被 设 置 了 自 动 转 发 功 能 在 对 此 次 攻 击 分 析 之 后 ， 我 们 又 发 现 了 另 外 一 个 包 含 C V E - 2 0 1 2 - 0 1 5 8 漏 洞 利 用 代 码 的 R T F 邮 件 攻 击 。 虽 然 这 两 个 漏 洞 都 比 较 过 时 了 ， 但 仍 然 被 广 泛 用 于 邮 件 攻 击 中 。 ( 后 记 ： 在 2 0 1 5 年 被 发 现 的 “ 海 德 薇 ” （ H e d w i g ） A P T 网 络 攻 击 中 ， H a w k E y e k e y l o g g e r 被 用 作 窃 密 木 马 ) * 原 文 地 址 ： t r u s t w a v e ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理