搜索

[11443] 2017-06-10_暗云ⅢBootKit木马分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-10_暗云ⅢBootKit木马分析 暗 云 Ⅲ   B o o t K i t   木 马 分 析 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 6 - 1 0 概 况 概 况 “ 暗 云 暗 云 ” 系 列 木 马 自 系 列 木 马 自 2 0 1 5 年 初 被 腾 讯 反 病 毒 实 验 室 首 次 捕 获 并 查 杀 ， 至 今 已 有 年 初 被 腾 讯 反 病 毒 实 验 室 首 次 捕 获 并 查 杀 ， 至 今 已 有 2 年 多 。 在 这 两 年 多 时 间 里 ， 该 木 马 不 断 更 新 迭 年 多 。 在 这 两 年 多 时 间 里 ， 该 木 马 不 断 更 新 迭 代 ， 持 续 对 抗 升 级 。 代 ， 持 续 对 抗 升 级 。 从 今 年 4 月 开 始 ， 该 木 马 卷 土 重 来 ， 再 次 爆 发 ， 本 次 爆 发 的 暗 云 木 马 相 比 之 前 的 版 本 有 比 较 明 显 的 晋 级 特 征 ， 因 此 我 们 将 其 命 名 为 暗 云 Ⅲ 。 暗 云 Ⅲ 与 之 前 版 本 相 比 有 以 下 特 点 和 区 别 ： 第 一 、 更 加 隐 蔽 ， 暗 云 Ⅲ 依 旧 是 无 文 件 无 注 册 表 ， 与 暗 云 Ⅱ 相 比 ， 取 消 了 多 个 内 核 钩 子 ， 取 消 了 对 象 劫 持 ， 变 得 更 加 隐 蔽 ， 即 使 专 业 人 员 ， 也 难 以 发 现 其 踪 迹 。 第 二 、 兼 容 性 ， 由 于 该 木 马 主 要 通 过 挂 钩 磁 盘 驱 动 器 的 S t a r t I O 来 实 现 隐 藏 和 保 护 病 毒 M B R ， 此 类 钩 子 位 于 内 核 很 底 层 ， 不 同 类 型 、 品 牌 的 硬 盘 所 需 要 的   h o o k 点 不 一 样 ， 此 版 本 木 马 增 加 了 更 多 判 断 代 码 ， 能 够 感 染 市 面 上 的 绝 大 多 数 系 统 和 硬 盘 。 第 三 、 针 对 性 对 抗 安 全 软 件 ， 对 安 全 厂 商 的 “ 急 救 箱 ” 类 工 具 做 专 门 对 抗 ， 通 过 设 备 名 占 坑 的 方 式 试 图 阻 止 某 些 工 具 的 加 载 运 行 。
图 1 .   三 代 暗 云 木 马 比 较   图 2 .   暗 云 Ⅲ   木 马 启 动 流 程 一 、 由 一 、 由 M B R 到 到 W i n d o w s 内 核 内 核 暗 云 系 列 木 马 通 过 感 染 磁 盘 M B R 来 实 现 开 机 启 动 ， 三 代 暗 云 其 启 动 过 程 ， 基 本 没 变 ， 都 是 由 M B R 开 始 通 过 i n t   1 5 中 断 一 步 步 的 h o o k
来 跟 随 系 统 的 引 导 流 程 进 入 系 统 内 核 执 行 ， 该 套 代 码 可 兼 容 x p 、 v i s t a 、 w i n 7 、 w i n 8 等 主 流 操 作 系 统 ， 包 括 6 4 位 和 3 2 位 。 其 启 动 过 程 如 图 2 所 示 。 （ 具 体 细 节 参 见 ： “ 暗 云 ” B o o t K i t 木 马 详 细 技 术 分 析 ：   h t t p : / / w w w . f r e e b u f . c o m / v u l s / 5 7 8 6 8 . h t m l ）   图 3 .   暗 云 系 列   B o o t K i t 启 动 过 程 示 意 图 二 、 内 核 二 、 内 核 S h e l l C o d e   1   &   S h e l l C o d e   2 行 为 分 析 行 为 分 析 S h e l l C o d e   1 S h e l l C o d e   1 是 木 马 进 入 W i n d o w s 内 核 后 ， 通 过 创 建 一 个 线 程 开 始 执 行 的 第 一 段 代 码 。 其 功 能 是 通 过 磁 盘 钩 子 、 定 时 器 守 护 等 一 系 列 操 作 保 护 恶 意 的 磁 盘 M B R 不 被 检 测 和 修 改 。 此 外 ， 木 马 会 在 内 核 中 直 接 联 网 下 载 S h e l l C o d e 并 执 行 ， 我 们 将 下 载 的 s h e l l c o d e 称 为 S h e l l C o d e   2 。 s h e l l c o d e 2 主 要 功 能 是 向 应 用 层 插 入 a p c 。 详 细 分 析 ： 详 细 分 析 ： 1 )             寻 找 磁 盘 驱 动 器 （ a t a p i o r   i a S t o r   o r   L S I _ S A S ） 对 应 的 驱 动 对 象 。
图 4 . 从 文 件 系 统 开 始 查 找 磁 盘 驱 动 对 象 图 5 . 常 见 的 磁 盘 对 象 驱 动 与 小 端 口 驱 动 对 应 关 系 2 )     根 据 磁 盘 类 型 和 操 作 系 统 替 换 D r i v e r S t a r t I o 、   A t a p i H w S t a r t I o 、 R a U n i t S t a r t I o 等 函 数 ， 实 现 阻 止 其 他 程 序 读 取 磁 盘 1 - 3 F   扇 区 （ M B R ） 。 当 检 测 到 读 M B R 时 ，   返 回 一 个 构 造 好 的 正 常 的 M B R ， 检 测 到 写 M B R 时 ， 则 直 接 p a s s   该 操 作 。  
图 6 . M B R 保 护 挂 钩 逻 辑 示 意 图 图 7 . 根 据 磁 盘 驱 动 对 象 和 小 端 口 驱 动 设 置 不 同 的 钩 子 3 )     新 增 一 个 计 时 器 ， 在 D P C R o u t i n e   中 反 复 检 测 磁 盘 钩 子 ， 如 果 钩 子 被 删 除 则 重 新 挂 钩 ， 挂 钩 超 过 5 次 则 强 制 重 启 机 器 。 检 测   自 身 代 码 是 否 被 p a t c h ， 一 旦 发 现 自 己 被 p a t c h 则 蓝 屏 。
图 8 . 自 身 代 码 完 整 性 校 验 相 关 代 码 4 )     对 指 定 设 备 名 进 行 占 坑 ， 对 抗 急 救 箱 工 具 图 9 . 占 坑 对 抗 急 救 箱 代 码 5 )   直 接 在 内 核 以 T D I   的 方 式 访 问 网 络 下 载 s h e l l c o d e 解 密 后 直 接 在 内 核 中 运 行 。 木 马 在 T D I 层 用 u d p 连 接 访 问 * * . m a i m a i 6 6 6 . c o m 的 8 0 6 4 端 口 获 取 s h e l l c o d e 。 如 果 失 败 改 用 t c p 连 接 * * . m a i m a i 6 6 6 . c o m 的 8 8 6 4 获 取 。 且 木 马 自 带 了 d n s 服 务 器 地 址 用 来 解 析 域 名 。   图 1 0 .   连 接 网 络 下 载 s h e l l c o d e 2
S h e l l C o d e 2 s h e l l c o d e 2 的 功 能 是 解 压 尾 部 数 据 ， 得 到 一 个 p l a y l o a d . d l l   ， 尝 试 以 A P C 的 方 式 向 应 用 层 指 定 进 程 插 入 该 d l l 文 件 。   S h e l l c o d e 2 会 遍 历 进 程 ， 当 发 现 以 下 某 一 进 程 时 ， 进 行 插 入 ， 成 功 后 不 再 尝 试 其 它 进 程 。 图 1 1 .   进 程 列 表 一  
图 1 2 .   进 程 列 表 二   图 1 3 .   向 指 定 进 程 插 A P C 相 关 代 码 三 、 三 、 p l a y l o a d . d l l 行 为 分 析 行 为 分 析 三 、 三 、 p l a y l o a d . d l l 行 为 分 析 行 为 分 析 p l a y l o a d . d l l 该 d l l 被 以 A P C 的 形 式 插 入 到 应 用 层 进 程 中 ， 根 据 配 置 信 息 执 行 相 应 的 功 能 ， 能 够 实 现 的 功 能 及 具 体 配 置 情 况 如 下 表 所 示 。 下 载 的 文 件 所 在 的 U R L 为 ： h x x p : / / w w w . * * s e w l e . c o m : 8 8 7 7 / d s / c l . d b 。   能 实 现 的 功 能 能 实 现 的 功 能 开 关 开 关 参 数 信 息 参 数 信 息 删 除 指 定 的 服 务   关   删 除 指 定 服 务 和 注 册 表   关   下 载 指 定 D l l 并 L o a d   关   下 载 E x e 并 执 行   关   下 载 恶 意 代 码 ， 注 入 到 傀 儡 进 程 执 行   开   h t t p : / / w w w . * * s e w l e . c o m : 8 8 7 7 / d s / c l . d b ， 解 密 后 创 建 傀 儡 进 程 s v c h o s t . e x e 执 行   1 )     根 据 配 置 （ 配 置 信 息 直 接 内 置 在 文 件 中 ， 比 暗 云 Ⅱ 减 少 了 一 次 联 网 下 载 配 置 的 行 为 ） 来 决 定 执 行 哪 些 操 作 ， 可 以 实 现 的 功 能 包 括 删 除 指 定 服 务 ， 指 定 注 册 表 ， 下 载 指 定 文 件 加 载 、 运 行 、 注 入 等 图 1 4 . 删 除 服 务 相 关 代 码
图 1 5 . 下 载 文 件 并 加 载 、 执 行 、 注 入 的 相 关 代 码 c l . d b     该 模 块 的 结 构 是 S h e l l C o d e + D L L ， S h e l l C o d e 的 功 能 是 在 内 存 中 展 开 执 行 解 密 后 的 D L L ， D L L 是 个 简 单 下 载 器 ， 首 先 会 从 h x x p : / / w w w . * * s e w l e . c o m : 8 8 7 7 / d s / k n . h t m l 下 载 配 置 文 件 ， 然 后 根 据 配 置 信 息 下 载 e x e 执 行 或 者 下 载 d l l ， 最 后 创 建 傀 儡 进 程 s v c h o s t 执 行 。 对 比 暗 云 Ⅱ 和 暗 云 Ⅲ 的 配 置 文 件 中 的 V e r s i o n 字 段 ， 我 们 发 现 当 前 的 版 本 已 经 达 到 6 2 4 ， 说 明 该 木 马 不 仅 持 续 活 跃 ， 而 且 更 新 频 繁 。     图 1 6 .   配 置 文 件 格 式 ， I s E x e 字 段 标 记 是 否 为 e x e
图 1 7 . 创 建 傀 儡 进 程 s v c h o s t . e x e ， 并 将 内 置 有 脚 本 解 释 器 的 恶 意 d l l 注 入 执 行 四 、 木 马 功 能 模 块 四 、 木 马 功 能 模 块 四 、 木 马 功 能 模 块 四 、 木 马 功 能 模 块 l c d n . d b 该 木 马 是 暗 云 木 马 的 主 要 功 能 模 块 ， 直 接 在 内 存 中 加 载 执 行 ， 该 模 块 集 成 了 l u a 脚 本 解 释 器 ， 其 主 要 功 能 不 断 从 h t t p : / / w w w . * * s e w l e . c o m : 8 8 7 7 / l d / n d n . d b 处 下 载 l u a 脚 本 ， 并 解 释 执 行 ， 该 脚 本 非 常 频 繁 地 变 换 中 ， 通 过 跟 踪 几 个 脚 本 ， 发 现 当 前 下 发 的 脚 本 主 要 功 能 是 刷 流 量 和 攻 击 网 站 。 控 制 者 可 随 时 更 新 服 务 器 上 的 脚 本 ， 做 各 种 恶 意 行 为 ， 对 用 户 电 脑 造 成 严 重 的 安 全 隐 患 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理