搜索

[10340] 2016-07-25_分析重装系统也无法清除的鬼影病毒

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-07-25_分析重装系统也无法清除的鬼影病毒 分 析 重 装 系 统 也 无 法 清 除 的 鬼 影 病 毒 e x p s k y   F r e e B u f   2 0 1 6 - 0 7 - 2 5 声 明 ： 本 文 由 【 M S 5 0 9   T e a m 】 成 员 e x p s k y 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 禁 止 将 相 关 技 术 应 用 到 不 当 途 径 。 整 理 电 脑 的 时 候 找 到 自 已 以 前 分 析 的 一 个 鬼 影 病 毒 的 资 料 ， 当 时 兼 容 市 面 上 主 要 的 整 理 电 脑 的 时 候 找 到 自 已 以 前 分 析 的 一 个 鬼 影 病 毒 的 资 料 ， 当 时 兼 容 市 面 上 主 要 的 w i n d o w s 系 统 （ 系 统 （ X P ,   w i n 7 , 包 含 包 含 x 8 6 和 和 x 6 4 系 统 ） 样 本 来 自 国 外 ， 有 不 少 亮 点 ， 当 时 花 了 不 少 时 间 把 所 有 原 理 分 析 出 来 并 系 统 ） 样 本 来 自 国 外 ， 有 不 少 亮 点 ， 当 时 花 了 不 少 时 间 把 所 有 原 理 分 析 出 来 并 重 新 用 汇 编 和 重 新 用 汇 编 和 C + + 实 现 了 出 来 。 实 现 了 出 来 。 以 前 的 一 些 资 料 简 单 整 理 了 下 ， 分 享 出 来 ， 也 给 自 己 以 前 的 工 作 留 个 记 录 。 该 木 马 样 本 通 过 感 染 M B R 达 到 早 于 系 统 得 到 执 行 。 整 个 样 本 以 非 文 件 形 式 存 在 ， 直 接 写 人 磁 盘 扇 区 。 包 括 感 染 的 M B R 以 及 保 存 在 磁 盘 末 尾 非 文 件 系 统 的 p a y l o a d 。 木 马 执 行 流 程 从 M B R 开 始 ， 通 过 h o o k 和 注 册 回 调 函 数 的 机 制 ， 将 所 有 的 木 马 程 序 在 w i n d o w s 启 动 过 程 中 逐 级 得 到 执 行 ，   w i n d o w s 启 动 完 毕 后 最 终 将 下 载 者 d l l 注 入 到 指 定 的 系 统 进 程 中 ， 下 载 者 代 码 循 环 执 行 而 告 终 。 木 马 亮 点 有 ： 木 马 亮 点 有 ： 绕 过 w i n d o w s 的 P a t c h G u a r d 保 护 兼 容 X P ,   w i n 7 （ x 8 6 , x 6 4 ） （ b o o t k i t 型 底 层 木 马 兼 容 不 同 系 统 是 挺 有 挑 战 的 ） 自 保 护 功 能 ： 感 染 木 马 后 通 过 W i n H e x 等 工 具 查 看 到 的 M B R 是 正 常 的 ， 而 且 无 法 修 改 被 感 染 的 M B R （ 不 是 简 单 的 修 改 失 败 ， 而 是 会 呈 现 M B R 被 修 改 成 功 的 假 象 ） 从 内 核 态 向 用 户 态 的 指 定 系 统 进 程 注 入 下 载 者 D L L （ 根 据 系 统 是 3 2 位 还 是 6 4 位 ， 会 注 入 相 应 的 3 2 位 和 6 4 位 版 本 的 D L L ） 启 动 过 程 中 关 闭 指 定 进 程 木 马 工 作 原 理 木 马 工 作 原 理 1 ） ） 木 马 木 马 植 入 程 序 运 行 后 感 染 植 入 程 序 运 行 后 感 染 M B R 和 磁 盘 末 尾 未 分 区 部 分 和 磁 盘 末 尾 未 分 区 部 分   （ 无 文 件 ， 直 接 写 入 磁 盘 扇 区 ） （ 无 文 件 ， 直 接 写 入 磁 盘 扇 区 ） 感 染 的 数 据 主 要 包 括 6 个 部 分 ： 感 染 的 M B R ； 启 动 部 分 代 码 ； x 8 6 驱 动 代 码 ； x 6 4 驱 动 代 码 ； x 8 6 下 载 者 D L L ； x 6 4 下 载 者 D L L （ 前 两 部 分 未 压 缩 ， 其 他 4 部 分 进 行 了 a P L i b 压 缩 ） 2 ） ） 重 启 电 脑 后 感 染 的 重 启 电 脑 后 感 染 的 M B R 接 管 执 行 ： 接 管 执 行 ： a )   加 载 末 尾 2 0 个 扇 区 的 前 1 8 个 扇 区 （ 未 压 缩 数 据 ） 到 常 规 内 存 并 执 行 b )   加 载 第 1 9 个 扇 区 （ 原 始 M B R ） 到 0 x 7 C 0 0 c )   加 载 第 2 0 个 扇 区 （ 配 置 信 息 ： 驱 动 、 下 载 者 代 码 的 大 小 、 p a y l o a d 所 在 扇 区 位 置 数 据 ） 到 常 规 内 存 d )   调 用 I n t 1 5 扫 描 常 规 内 存 ， 保 存 A R D 结 构 体 用 于 后 续 常 规 内 存 的 分 页 扫 描 （ 查 找 n t o s k r n l . e x e 映 像 ） e )   h o o k   I V T 表 中 i n t 1 3 向 量 （ 用 于 监 控 后 续 磁 盘 读 操 作 ） f )   跳 转 到 0 x 7 C 0 0 控 制 权 转 交 原 始 M B R ， 系 统 继 续 启 动 3 ） ） I n t 1 3 钩 子 监 视 系 统 启 动 过 程 的 读 磁 盘 操 作 ， 当 读 取 到 钩 子 监 视 系 统 启 动 过 程 的 读 磁 盘 操 作 ， 当 读 取 到 k d c o m . d l l 时 接 管 执 行 （ 绕 过 时 接 管 执 行 （ 绕 过 P a t c h G u a r d 的 时 机 ） 的 时 机 ） a ） i n t 1 3 钩 子 根 据 读 取 文 件 的 前 0 × 2 0 0 字 节 的 校 验 值 和 P E 特 征 码 识 别 k d c o m . d l l ， 根 据 k d c o m . d l l   P E 的 m e c h i n e 字 段 判 断 系 统 为 3 2 位 还 是 6 4 位 （ 3 2 位 和 6 4 位 部 分 h o o k 函 数 不 同 ， 整 体 流 程 一 致 ） b ） 根 据 前 面 保 存 的 A R D 结 构 体 扫 描 常 规 内 存 ， 找 到 n t o s k r n l . e x e 基 地 址 ( 根 据 文 件 h a s h 值 ) ， 再 根 据 n t o s k r n l   P E 导 出 表 h o o k 函 数 I o C r e a t e D r i v e r （ 根 据 函 数 名 h a s h 值 ， 6 4 位 系 统 h o o k   M m M a p I o S a p c e ） c ） 控 制 权 继 续 转 交 系 统 4 ） ） I o C r e a t e D r i v e r 钩 子 函 数 接 管 执 行 钩 子 函 数 接 管 执 行 a ） 先 恢 复 I o C r e a t e D r i v e r 钩 子 b ） 同 前 机 制 ， 根 据 n t o s k r n l . e x e 基 地 址 和 P E 导 出 表 找 到 函 数 P s S e t L o a d I m a g e N o t i f y R o u t i n e c ） 调 用 P s S e t L o a d I m a g e N o t i f y R o u t i n e ， 注 册 回 调 函 数 d ） 控 制 权 继 续 转 交 系 统 5 ） ） 系 统 加 载 模 块 时 ， 上 步 系 统 加 载 模 块 时 ， 上 步 P s S e t L o a d I m a g e N o t i f y R o u t i n e 注 册 的 回 调 函 数 接 管 执 行 注 册 的 回 调 函 数 接 管 执 行 a ） 如 前 机 制 ， 得 到 N t R e a d F i l e ， N t C l o s e ， N t O p e n F i l e ， E x A l l o c a t e P o o l 函 数 指 针 b ） 申 请 8 K 内 存 ， 再 打 开 D e v i c e H a r d d i s k 0 P a t i t i o n 0 ， 将 驱 动 部 分 压 缩 数 据 读 入 其 中 c ） 申 请 0 × 3 6 0 0 字 节 内 存 ， 解 压 驱 动 数 据 到 其 中 d ） 释 放 8 K 压 缩 数 据 内 存 ， 转 入 驱 动 代 码 部 分 执 行 6 ） ） 驱 动 部 分 压 缩 数 据 解 压 后 的 执 行 驱 动 部 分 压 缩 数 据 解 压 后 的 执 行 A R D :   A d d r e s s R a n g e   D e s c r i p t o r   S t r u c t u r e + 0 ： B a s e A d d r L o w ： 基 地 址 的 低 3 2 位 + 4 ： B a s e A d d r H i g h ： 基 地 址 的 高 3 2 位 + 8 ： L e n g t h L o w ： 长 度 （ 字 节 ） 的 低 3 2 位 + 1 2 ： L e n g t h H i g h ： 长 度 （ 字 节 ） 的 高 3 2 位 + 1 6 ： T y p e ： 这 个 地 址 范 围 的 地 址 类 型 （ 1 ： A d d r e s s R a n g e M e m o r y ； 2 ： ? A d d r e s s R a n g e R e s e r v e d ； O t h e r ： U n d e f i n e d ）
a ） 根 据 实 际 加 载 的 内 存 地 址 ， 对 驱 动 部 分 的 常 量 进 行 重 定 位 b ） I n s t a l l P r o c e s s N o t i f y C a l l b a c k 注 册 回 调 函 数 ， 回 调 函 数 监 控 当 创 建 的 进 程 如 包 含 在 屏 蔽 进 程 列 表 中 时 ， 直 接 r e t u r n c ） P s S e t L o a d I m a g e N o t i f y R o u t i n e 注 册 回 调 函 数 ， 当 创 建 进 程 包 含 在 注 入 进 程 列 表 中 时 注 入 下 载 者 D L L d ） H o o k   N t R e a d F i l e ,   N t W r i t e F i l e ,   当 尝 试 读 写 感 染 的 M B R 或 磁 盘 末 尾 未 分 区 处 ， 都 返 回 正 常 值 ， 隐 藏 被 感 染 迹 象 。 同 样 写 入 数 据 到 此 部 分 也 会 做 相 应 保 护 ， 不 会 真 正 写 入 ， 但 会 呈 现 已 被 写 入 的 假 象 内 核 向 用 户 态 进 程 注 入 代 码 原 理 内 核 向 用 户 态 进 程 注 入 代 码 原 理 通 过 K e I n i t i a l i z e A p c 、 K e I n s e r t Q u e u e A p c （ 未 文 档 化 函 数 ） 插 入 内 核 A P C 回 调 函 数 、 E x Q u e u e W o r k I t e m 插 入 W o r k I t e m 回 调 函 数 ， 附 加 用 户 进 程 ， 将 注 入 代 码 复 制 到 用 户 进 程 内 存 空 间 ， 最 后 通 过 一 个 用 户 A P C 指 向 注 入 代 码 ， 并 异 步 得 到 执 行 。 详 细 流 程 如 下 ： 1 ） ） P s S e t L o a d I m a g e N o t i f y R o u t i n e 注 册 回 调 函 数 注 册 回 调 函 数 2 ） 任 意 进 程 加 载 模 块 时 ， 上 步 注 册 的 回 调 函 数 得 到 执 行 ） 任 意 进 程 加 载 模 块 时 ， 上 步 注 册 的 回 调 函 数 得 到 执 行 调 用 F s R t l I s N a m e I n E x p r e s s i o n ， 判 断 加 载 的 是 k e r n e l 3 2 . d l l ， 是 则 继 续 执 行 ， 否 则 返 回 。 （ T h e   F s R t l I s N a m e I n E x p r e s s i o n r o u t i n e   d e t e r m i n e s   w h e t h e r   a   U n i c o d e   s t r i n g   m a t c h e s   t h e   s p e c i f i e d   p a t t e r n . ） F s R t l A l l o c a t e P o o l 申 请 0 × 3 4 字 节 内 核 非 分 页 内 存 ， 用 于 后 续 A P C 对 象 及 回 调 参 数 。 将 k e r n e l 3 2 . d l l 基 址 存 入 0 × 3 4 字 节 的 最 后 一 个 D W O R D 中 （ 用 于 A P C 回 调 函 数 入 参 ） 调 用 K e G e t C u r r e n t T h r e a d 得 到 当 前 线 程 对 象 （ 用 于 A P C 初 始 化 的 入 参 ） 调 用 K e I n i t i a l i z e A p c 、 K e I n s e r t Q u e u e A p c （ 未 文 档 化 函 数 ） 插 入 内 核 A P C 回 调 函 数 （ 执 行 后 续 流 程 ） 3 ） 上 步 插 入 的 内 核 ） 上 步 插 入 的 内 核 A P C 函 数 异 步 执 行 函 数 异 步 执 行 调 用 E x F r e e P o o l 释 放 A P C 结 构 体 内 存 F s R t l A l l o c a t e P o o l 申 请 0 × 4 0 字 节 非 分 页 内 核 内 存 （ 用 于 后 续 E V E N T 对 象 、 W O R K I T E M 对 象 及 其 参 数 ） 调 用 K e G e t C u r r e n t T h r e a d 、 P s G e t C u r r e n t P r o c e s s 、 P s G e t C u r r e n t T h r e a d P r o c e s s I d 得 到 进 程 对 象 ， 线 程 对 象 ， P I D （ 存 入 上 面 申 请 的 内 存 中 ， 作 为 参 数 传 给 E x Q u e u e W o r k I t e m 插 入 的 回 调 函 数 ） 调 用 K e I n i t i a l i z e E v e n t ， 用 于 同 步 ， 等 待 W o r k I t e m 执 行 完 毕 调 用 E x Q u e u e W o r k I t e m 插 入 后 续 流 程 的 回 调 函 数 调 用 K e W a i t F o r M u t e x O b j e c t 等 待 上 面 的 W o r k I t e m 回 调 函 数 执 行 完 毕 调 用 E x F r e e P o o l 释 放 上 面 申 请 的 0 × 4 0 字 节 内 核 内 存
4 ） 上 步 ） 上 步 E x Q u e u e W o r k I t e m 插 入 的 回 调 函 数 执 行 插 入 的 回 调 函 数 执 行 调 用 P s L o o k u p P r o c e s s B y P r o c e s s I d 得 到 E P R O C E S S 调 用 P s G e t P r o c e s s I m a g e F i l e N a m e 通 过 E P R O C E S S 得 到 进 程 文 件 名 计 算 进 程 文 件 名 的 h a s h 值 与 想 要 注 入 代 码 的 进 程 列 表 做 对 比 （ 包 含 在 内 继 续 执 行 ， 否 则 返 回 ）
调 用 K e S t a c k A t t a c h P r o c e s s 将 当 前 线 程 附 加 到 目 标 进 程 用 户 态 地 址 空 间 配 置 入 参 数 C l i e n t I d ,   O b j e c t A t t r i b u t e s 后 ， 调 用 Z w O p e n P r o c e s s 打 开 目 标 进 程
调 用 Z w A l l o c a t e V i r t u a l M e m o r y 申 请 目 标 进 程 用 户 态 内 存 m o v 指 令 将 内 核 中 的 注 入 代 码 拷 贝 到 上 步 申 请 的 用 户 态 进 程 空 间 调 用 F s R t l A l l o c a t e P o o l 申 请 0 × 3 0 字 节 内 核 非 分 页 内 存 用 于 A P C 对 象 调 用 K e I n i t i a l i z e A p c ， K e I n s e r t Q u e u e A p c 插 入 用 户 A P C （ 注 入 代 码 在 用 户 态 进 程 执 行 ）
调 用 Z w C l o s e ， K e U n s t a c k D e t a c h P r o c e s s ， O b D e r e f e r e n c e O b j e c t 释 放 资 源 末 尾 调 用 K e S e t E v e n t 设 置 事 件 ， 用 于 同 步 ， 通 知 W o r k I t e m 执 行 完 毕
5 ） 上 步 插 入 的 用 户 ） 上 步 插 入 的 用 户 A P C 异 步 得 到 执 行 （ 注 入 的 代 码 在 目 标 进 程 执 行 ） 异 步 得 到 执 行 （ 注 入 的 代 码 在 目 标 进 程 执 行 ） 至 此 ， 完 成 了 内 核 态 向 目 标 用 户 进 程 注 入 代 码 并 得 到 执 行 自 保 护 原 理 自 保 护 原 理 木 马 自 保 护 功 能 ： 当 木 马 正 常 工 作 后 ， 用 W i n H e x 等 磁 盘 查 看 工 具 是 看 不 到 M B R 及 磁 盘 末 尾 被 感 染 的 迹 象 的 ， 并 且 用 工 具 对 M B R 或 磁 盘 末 尾 进 行 修 改 后 ， 呈 现 被 改 动 的 假 象 ， 但 实 际 并 未 修 改 成 功 。 木 马 代 码 依 然 存 在 在 磁 盘 相 应 位 置 。 通 过 h o o k   N t R e a d F i l e 和 N t W r i t e F i l e 两 个 函 数 实 现 的 自 保 护 功 能 当 写 数 据 到 M B R 或 磁 盘 末 尾 处 时 ， 写 入 的 数 据 存 入 内 存 而 不 真 正 写 入 磁 盘 ， 当 读 取 磁 盘 M B R 或 末 尾 时 ， 不 真 实 读 取 ， 而 用 之 前 暂 存 的 数 据 代 替 ， 呈 现 数 据 被 写 入 的 假 象 ， 实 现 自 我 保 护 内 存 0 × 2 0 0 0 0 （ 1 2 8 k ） 0 × 0 磁 盘 末 尾 最 后 一 个 扇 区 数 据 （ 配 置 信 息 ） 磁 盘 末 尾 最 后 一 个 扇 区 数 据 （ 配 置 信 息 ） 0 × 2 0 0 原 始 M B R 0 × 4 0 0 保 存 被 修 改 过 的 M B R （ 假 M B R ） 0 × 6 0 0 感 染 后 的 M B R 0 × 8 0 0 磁 盘 末 尾 0 x F C 0 0 字 节 （ 1 2 6 个 扇 区 ， 6 3 K ） 0 × 1 0 4 0 0   0 × 2 0 0 0 0 保 存 被 修 改 后 的 磁 盘 末 尾 0 x F C 0 0 字 节 数 据 （ 1 2 6 个 扇 区 ， 6 3 K ） , 假 的 磁 盘 末 尾 数 据 （ （ 1 ） ） N t W r i t e F i l e 钩 子 函 数 钩 子 函 数 a ） 确 认 写 入 的 数 据 是 否 在 M B R 处 或 磁 盘 末 尾 0 x F C 0 0 处 b ） 当 向 M B R 写 入 数 据 时 ： 将 写 入 的 数 据 保 存 到 上 表 内 存 中 0 × 4 0 0 处 （ 假 M B R ） ， 以 及 更 新 0 × 2 0 0 （ 原 始 M B R ） 和 0 × 6 0 0 （ 染 后 后 M B R ） 的 末 尾 0 x 4 C 的 数 据 信 息 （ 只 更 新 M B R 中 分 区 表 等 数 据 信 息 ， 而 不 改 变 M B R 中 的 代 码 ） ； 修 改 磁 盘 M B R 处 后 0 x 4 C 的 分 区 表 等 数 据 ， 修 改 磁 盘 倒 数 第 2 个 扇 区 （ 备 份 的 原 始 M B R ） 的 后 0 x 4 C 数 据 部 分 c ） 当 向 磁 盘 末 尾 0 x F C 0 0 写 入 数 据 时 ： 计 算 写 入 数 据 与 末 尾 0 x F C 0 0 的 交 叉 情 况 ， 保 存 写 入 的 数 据 到 0 × 1 0 4 0 0 处 （ 假 的 磁 盘 末 尾 数 据 ） （ （ 2 ） ） N t R e a d F i l e 钩 子 函 数 钩 子 函 数
a ） 确 认 读 取 的 数 据 是 否 在 M B R 处 或 磁 盘 末 尾 0 x F C 0 0 处 b ） 当 读 取 M B R 时 ， 用 上 表 中 0 × 4 0 0 处 的 假 M B R 代 替 c ） 当 读 取 磁 盘 末 尾 时 ， 用 上 表 中 0 × 1 0 4 0 0 处 假 数 据 代 结 语 结 语 这 是 几 年 前 逆 向 分 析 的 基 于 M B R 的 b o o t k i t 型 样 本 （ 来 自 国 外 ） ， 运 行 相 当 稳 定 （ 也 尝 试 过 改 造 来 从 B I O S 启 动 ， 但 主 板 芯 片 的 差 异 ， 以 及 植 入 B I O S 的 程 序 兼 容 性 很 难 保 证 ， 最 终 稳 定 性 不 好 ） 该 样 本 当 时 未 在 国 内 传 播 ， 逆 向 老 外 的 样 本 过 程 中 发 现 各 种 细 节 处 理 的 非 常 到 位 ， 师 夷 长 技 以 自 强   。 ^ _ ^ * 本 文 原 创 作 者 ： e x p s k y ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理