设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [10664] 2016-10-30_文档化身商业木马，对“盗神”的分 ...
返回列表 发新帖
查看: 0|回复: 0

[10664] 2016-10-30_文档化身商业木马，对“盗神”的分析与溯源

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2016-10-30_文档化身商业木马，对“盗神”的分析与溯源 文 档 化 身 商 业 木 马 ， 对 “ 盗 神 ” 的 分 析 与 溯 源 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 6 - 1 0 - 3 0 前 言 前 言 利 用 文 档 进 行 木 马 传 播 的 手 法 ， 最 近 一 段 时 间 随 着 敲 诈 类 木 马 的 流 行 ， 而 被 广 泛 利 用 了 起 来 。 与 此 同 时 ， 这 个 手 法 也 开 始 利 用 文 档 进 行 木 马 传 播 的 手 法 ， 最 近 一 段 时 间 随 着 敲 诈 类 木 马 的 流 行 ， 而 被 广 泛 利 用 了 起 来 。 与 此 同 时 ， 这 个 手 法 也 开 始 被 传 统 木 马 所 借 鉴 。 近 日 哈 勃 分 析 系 统 捕 捉 到 一 类 隐 私 窃 取 类 木 马 ， 也 开 始 利 用 文 档 作 为 自 身 的 传 播 手 段 。 被 传 统 木 马 所 借 鉴 。 近 日 哈 勃 分 析 系 统 捕 捉 到 一 类 隐 私 窃 取 类 木 马 ， 也 开 始 利 用 文 档 作 为 自 身 的 传 播 手 段 。 据 分 析 ， 此 木 马 通 常 定 向 攻 击 企 业 商 务 用 户 ， 目 前 已 经 有 大 量 受 害 者 的 隐 私 被 窃 取 ， 包 括 黎 巴 嫩 ， 美 国 ， 印 度 ， 意 大 利 ， 马 来 西 亚 ， 韩 国 ， 尼 日 利 亚 ， 英 国 ， 泰 国 ， 希 腊 ， 墨 西 哥 ， 越 南 等 国 家 ， 在 中 国 境 内 也 发 现 有 台 湾 和 广 东 的 企 业 用 户 被 植 入 该 木 马 ， 包 括 邮 箱 密 码 、 网 站 密 码 、 聊 天 记 录 、 桌 面 截 图 等 在 内 的 大 量 隐 私 遭 到 泄 漏 。 顺 着 这 个 线 索 ， 哈 勃 进 一 步 发 现 了 此 木 马 的 制 作 团 体 以 及 进 行 兜 售 的 网 站 。 木 马 的 攻 击 流 程 可 以 简 要 地 表 示 为 下 图 ：
在 这 次 事 件 中 ， 哈 勃 分 析 系 统 捕 获 到 的 部 分 情 报 如 下 ：
此 木 马 的 详 细 技 术 分 析 此 木 马 的 详 细 技 术 分 析 此 木 马 的 详 细 技 术 分 析 此 木 马 的 详 细 技 术 分 析 一 、 诱 导 一 、 诱 导 木 马 文 件 是 一 个 带 宏 的 w o r d 文 档 ， 后 缀 名 为 d o c m 。 打 开 该 文 档 后 ， 其 首 页 内 容 为 诱 导 性 的 图 片 ， 假 称 媒 体 插 件 未 加 载 ， 要 求 用 户 开 启 宏 以 查 看 内 容 。 二 、 释 放 二 、 释 放
当 用 户 点 击 开 启 宏 之 后 ， 文 档 中 的 恶 意 宏 文 件 会 开 始 执 行 。 查 看 宏 代 码 可 以 发 现 ， 宏 的 内 容 经 过 一 定 程 度 的 混 淆 ， 目 的 是 提 高 安 全 人 员 对 其 进 行 破 解 的 难 度 。 经 过 分 析 ， 此 宏 的 作 用 是 在 T e m p 目 录 下 的 一 个 随 机 目 录 名 中 释 放 恶 意 可 执 行 文 件 ， 文 件 的 扩 展 名 为 “ c m d ” （ 中 间 带 一 个 空 格 ） ， 而 文 件 的 本 体 并 非 存 放 在 宏 之 中 ， 而 是 存 放 在 文 档 正 文 之 中 。 木 马 作 者 通 过 将 正 文 文 字 设 置 为 白 色 ， 以 达 到 隐 藏 的 效 果 。 实 际 上 ， 这 些 正 文 是 经 过 编 码 的 二 进 制 文 件 ， 宏 通 过 读 取 正 文 并 解 码 后 ， 将 真 正 的 恶 意 数 据 写 入 前 述 目 录 ， 即 达 到 释 放 恶 意 文 件 的 目 的 。 三 、 下 载 三 、 下 载 接 下 来 ， 宏 会 运 行 该 可 执 行 文 件 ， 此 文 件 的 主 要 作 用 ， 是 从 某 网 络 地 址 上 下 载 一 个 名 为 i n s t a l l . z i p 的 压 缩 包 。 该 压 缩 包 是 加 密 的 ， 这 样 可 以 避 免 在 传 输 过 程 中 被 扫 描 而 报 毒 。 下 载 完 成 后 ， 木 马 会 使 用 密 码 将 压 缩 包 中 内 容 解 压 到 C : P r o g r a m D a t a 目 录 下 。 这 个 过 程 中 ， 下 载 地 址 和 压 缩 密 码 均 为 硬 编 码 在 可 执 行 文 件 中 。 其 中 下 载 地 址 的 有 效 字 符 中 间 填 充 了 大 量 的 空 白 字 符 0 x 2 0 ， 目 的 是 躲 避 静 态 扫 描 对 于 字 符 串 的 检 测 。
此 外 ， 此 文 件 还 会 在 解 压 目 录 中 生 成 一 个 . g t k . c o n f 配 置 文 件 。 四 、 窃 密 四 、 窃 密 压 缩 包 解 压 后 ， 木 马 会 运 行 其 中 的 m s u p d . e x e 文 件 ， 这 个 文 件 是 执 行 恶 意 行 为 的 主 程 序 ， 它 启 动 后 ， 会 检 查 同 目 录 下 是 否 有 . g t k . c o n f 配 置 文 件 ， 这 个 加 密 的 配 置 文 件 设 置 木 马 的 功 能 ， 指 导 其 拉 起 其 它 组 件 ， 进 行 各 种 隐 私 窃 取 操 作 ， 包 括 收 集 密 码 、 键 盘 记 录 、 屏 幕 截 图 等 。 1 . 收 集 密 码 收 集 密 码 收 集 密 码 时 使 用 的 是 压 缩 包 中 的 M S A S C u i . e x e 程 序 ， 其 被 调 用 的 命 令 行 为 ： 经 过 分 析 发 现 ， 此 程 序 实 际 上 是 网 络 上 的 一 个 开 源 项 目 ， L a Z a g n e P r o j e c t ， 该 项 目 是 一 个 在 计 算 机 上 检 索 存 储 的 密 码 的 程 序 ， 支 持 W i n d o w s 、 L i n u x / U n i x - L i k e 等 多 种 操 作 系 统 中 ， 包 括 系 统 密 码 、 浏 览 器 密 码 、 聊 天 软 件 密 码 、 游 戏 密 码 、 代 码 仓 库 （ G i t 、 S v n 等 ） 密 码 、 邮 箱 密 码 、 W i f i 密 码 等 在 内 的 大 量 密 码 信 息 。 此 项 目 的 源 代 码 是 用 P y t h o n 写 的 ， 同 时 提 供 了 W i n d o w s 下 独 立 的 可 执 行 程 序 版 本 。 通 过 P y t h o n 源 码 我 们 可 以 了 解 其 收 集 密 码 的 一 些 细 节 ， 比 如 对 于 I E 密 码 ， 程 序 会 首 先 从 系 统 中 提 取 密 码 数 据 ， W i n 7 及 之 前 的 系 统 是 从 注 册 表 中 提 取 ：
W i n 8 及 以 后 的 系 统 是 使 用 P o w e r s h e l l 命 令 从 P a s s w o r d V a u l t 中 提 取 ： 对 于 提 取 出 来 的 密 码 数 据 ， 会 使 用 系 统 中 的 C r y p t U n p r o t e c t D a t a A P I 解 为 明 文 。 这 是 因 为 ， 保 存 的 密 码 数 据 在 W i n d o w s 系 统 中 是 使 用 C r y p t P r o t e c t D a t a A P I 进 行 保 护 的 ， 编 码 后 的 数 据 在 另 一 台 电 脑 甚 至 同 一 系 统 下 的 不 同 用 户 账 户 都 是 无 法 解 读 的 。 可 是 木 马 利 用 此 开 源 项 目 ， 先 在 已 登 录 的 用 户 账 户 下 将 密 码 解 为 明 文 ， 再 回 传 给 攻 击 者 ， 就 可 以 绕 过 此 密 码 保 护 体 系 。 这 一 手 法 也 用 在 了 很 多 其 它 不 同 的 密 码 的 收 集 流 程 中 。 在 木 马 中 用 到 的 L a Z a g n e 是 目 前 的 最 新 版 本 1 . 7 版 。 最 终 写 入 P W D . t x t 中 的 内 容 示 例 为 ：
2 . 键 盘 记 录 键 盘 记 录 木 马 会 创 建 低 级 键 盘 钩 子 记 录 键 盘 信 息 ： 3 . 屏 幕 截 图 屏 幕 截 图 屏 幕 截 图 相 关 代 码 如 下 ：
可 以 看 到 其 截 取 的 是 受 害 者 的 全 部 桌 面 屏 幕 ： 五 、 回 传 五 、 回 传 五 、 回 传 五 、 回 传 收 集 到 足 够 的 隐 私 信 息 后 ， 木 马 会 将 这 些 信 息 回 传 到 服 务 器 上 ， 回 传 使 用 的 方 式 是 连 接 邮 件 服 务 器 并 发 送 邮 件 。 当 邮 件 的 发 件 人 和 收 件 人 并 非 同 一 地 址 时 ， 邮 件 发 送 之 后 本 来 是 无 法 继 续 跟 踪 邮 件 内 容 的 。 有 趣 的 是 ， 在 使 用 捕 获 到 的 其 中 一 个 木 马 使 用 的 用 户 名 密 码 登 录 邮 件 服 务 器 之 后 ， 可 以 看 到 有 一 些 邮 件 因 为 被 识 别 为 垃 圾 邮 件 等 原 因 ， 被 收 件 人 的 邮 件 服 务 器 给 退 了 回 来 ， 退 回 的 邮 件 中 包 含 有 发 送 的 邮 件 原 文 。
在 退 回 的 邮 件 中 ， 可 以 发 现 木 马 回 传 的 隐 私 信 息 。 比 如 如 下 这 个 邮 件 中 ， 就 包 含 了 木 马 在 受 害 者 电 脑 上 的 屏 幕 截 图 和 相 关 日 志 ： 此 外 ， 在 另 一 个 样 本 的 邮 箱 中 ， 可 以 在 收 件 箱 中 发 现 更 多 寄 给 自 己 的 邮 件 。 这 批 邮 件 涉 及 的 企 业 和 隐 私 内 容 更 加 广 泛 ， 包 括 大 量 的 邮 箱 密 码 、 浏 览 器 保 存 密 码 、 聊 天 记 录 、 屏 幕 截 图 等 内 容 均 遭 到 泄 漏 ， 其 中 还 包 括 了 银 行 、 政 府 网 站 登 录 密 码 这 样 的 敏 感 数 据 。 同 时 还 可 以 发 现 ， 这 些 邮 箱 也 被 用 于 发 送 钓 鱼 邮 件 ， 传 播 带 宏 的 样 本 ：
团 体 团 体 团 体 团 体 在 最 初 分 析 的 带 宏 文 档 的 属 性 中 可 以 看 到 ， 生 成 该 文 档 的 原 始 语 言 为 波 兰 语 。 Z i p 包 的 下 载 域 名 所 对 应 的 托 管 公 司 也 位 于 波 兰 。 同 时 ， 在 邮 箱 中 也 可 以 发 现 一 些 波 兰 语 的 邮 件 。 可 以 猜 测 ， 该 木 马 的 传 播 者 也 位 于 波 兰 。 但 是 ， 传 播 者 并 不 等 同 于 制 造 者 。 通 过 进 一 步 分 析 可 以 发 现 ， 不 同 的 样 本 使 用 的 具 体 手 法 上 有 所 差 别 ， 可 以 认 为 是 由 不 同 的 恶 意 攻 击 团 体 在 进 行 操 作 。 可 以 想 象 这 些 木 马 是 由 某 一 个 团 体 开 发 ， 然 后 交 到 不 同 的 攻 击 团 体 手 中 ， 经 过 个 性 化 修 改 后 再 进 行 传 播 。 顺 着 这 个 思 路 ， 我 们 在 网 上 找 到 了 此 木 马 的 最 初 源 头 。 令 人 惊 讶 的 是 ， 此 木 马 的 制 作 团 体 已 经 开 发 了 一 整 套 完 整 的 商 业 项 目 ， 将 此 木 马 在 网 络 上 进 行 兜 售 ， 售 价 从 1 5 美 元 / 月 到 7 5 美 元 / 永 久 不 等 。 从 网 站 上 给 出 的 截 图 可 以 看 出 ， 木 马 除 了 通 过 邮 箱 回 传 信 息 之 外 ， 还 支 持 通 过 F T P 或 P H P 网 页 回 传 隐 私 信 息 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:25 , Processed in 0.657399 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表