搜索

[11898] 2017-10-15_银行木马利用VMvare进行传播

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-10-15_银行木马利用VMvare进行传播 银 行 木 马 利 用 V M v a r e 进 行 传 播 a n g 0 1 0 e l a   F r e e B u f   2 0 1 7 - 1 0 - 1 5 背 景 介 绍 背 景 介 绍 银 行 木 马 与 每 个 人 的 日 常 生 活 息 息 相 关 ， 可 能 会 对 每 个 人 造 成 直 接 的 经 济 损 失 。 思 科 的 研 究 团 队 思 科 的 研 究 团 队 T a l o s 近 日 发 现 一 起 针 对 对 南 美 巴 西 的 银 行 木 马 活 动 。 该 木 马 活 动 的 对 象 主 要 是 南 美 的 银 行 ， 通 近 日 发 现 一 起 针 对 对 南 美 巴 西 的 银 行 木 马 活 动 。 该 木 马 活 动 的 对 象 主 要 是 南 美 的 银 行 ， 通 过 窃 取 用 户 的 证 书 来 非 法 获 利 。 除 了 针 对 巴 西 用 户 外 ， 还 尝 试 用 重 定 向 等 方 法 来 感 染 用 户 的 计 算 机 。 令 人 意 外 过 窃 取 用 户 的 证 书 来 非 法 获 利 。 除 了 针 对 巴 西 用 户 外 ， 还 尝 试 用 重 定 向 等 方 法 来 感 染 用 户 的 计 算 机 。 令 人 意 外 的 是 ， 该 木 马 使 用 了 多 重 反 逆 向 分 析 技 术 ， 而 且 最 终 的 的 是 ， 该 木 马 使 用 了 多 重 反 逆 向 分 析 技 术 ， 而 且 最 终 的 p a y l o a d 是 用 是 用 D e l p h i 编 写 的 ， 而 编 写 的 ， 而 D e l p h i 在 银 行 木 马 中 并 不 在 银 行 木 马 中 并 不 常 见 。 常 见 。 感 染 传 播 感 染 传 播 I n f e c t i o n   V e c t o r 垃 圾 邮 件 垃 圾 邮 件 与 大 多 数 银 行 木 马 活 动 类 似 ， 该 木 马 首 先 利 用 恶 意 垃 圾 邮 件 进 行 传 播 。 攻 击 者 使 用 的 邮 件 是 用 葡 萄 牙 语 写 的 ， 看 起 来 更 加 真 实 ， 收 到 恶 意 邮 件 的 人 更 容 易 打 开 恶 意 附 件 。 该 邮 件 含 有 一 个 名 为 B O L E T O 2 2 4 8 . h t m l 的 附 件 ， B O L E T O 是 巴 西 使 用 的 一 种 发 票 。 这 个 H T M L 文 件 含 有 一 个 简 单 的 重 定 向 ：
重 定 向 重 定 向 H T M L 附 件 中 的 U R L 会 重 定 向 到 g o o . g l ； 然 后 g o o . g l 再 重 定 向 到   h t t p : / / t h i r d c u l t u r e . t v : 8 0 / w p / w p - c o n t e n t / t h e m e s / z e r i f - l i t e / 9 7 4 6 3 9 8 6 9 0 9 8 3 7 2 1 4 0 9 2 1 2 9 . r a r ； 最 后 ， 重 定 向 的 链 接 会 指 向 一 个 名 为 B O L E T O _ 0 9 8 4 8 3 7 8 9 7 4 0 9 3 7 9 8 0 4 3 . j a r 的 J A R 文 件 。 如 果 用 户 双 击 该 J A R 文 件 ， J a v a 就 会 执 行 恶 意 代 码 并 开 始 安 装 银 行 木 马 。 J a v a 执 行 执 行 J a v a 代 码 执 行 的 第 一 步 是 设 定 恶 意 软 件 运 行 的 工 作 环 境 ， 从   h t t p : / / 1 0 4 . 2 3 6 . 2 1 1 . 2 4 3 / 1 4 0 9 / p z . z i p   下 载 需 要 的 其 他 文 件 。 恶 意 软 件 工 作 在 C : U s e r s P u b l i c A d m i n i s t r a t o r   d i r e c t o r y 目 录 下 。 然 后 ， J a v a 代 码 会 重 命 名 下 载 的 二 进 制 文 件 ， 执 行 之 前 重 命 名 的 v m . p n g 。 恶 意 软 件 加 载 恶 意 软 件 加 载 首 先 执 行 的 二 进 制 文 件 是 v m . p n g ， 这 是 经 过 V M v a r e 签 名 的 合 法 的 二 进 制 文 件 。 依 赖 的 二 进 制 文 件 之 一 是 v m w a r e b a s e . d l l ： v m w a r e b a s e . d l l 是 恶 意 的 二 进 制 代 码 而 不 是 合 法 文 件 ， 其 他 攻 击 者 使 用 的 技 术 有 P l u g X 。 P l u g X 背 后 的 理 念 是 ： 一 些 安 全 产 品 的 可 信 链 是 这 样 的 ， 如 果 一 个 二 进 制 文 件 是 可 信 的 （ 本 文 中 的 v m . p n g ） ， 那 么 它 所 加 载 的 库 默 认 是 可 信 的 。 这 种 加 载 技 术 可 以 绕 过 一 些 安 全 检 查 。 v m w a r e b a s e . d l l   代 码 的 作 用 是 注 入 和 执 行   e x p l o r e r . e x e 或 者   n o t e p a d . e x e 中 的 p r s . p n g 代 码 。 注 入 是 通 过 远 程 进 程 的 内 存 分 配 和 加 载 g b s . p n g 库 的 L o a d L i b r a r y ( ) 来 执 行 的 。 A P I 的 使 用 是 通 过 A E S 加 密 来 混 淆 的 。 解 密 结 果 为 m 5 b a + 5 j O i l t H 7 M f f 7 n e i M u m H l 2 s =   是 L o a d L i b r a r y A Q i F 3 g n 1 j E E w 8 X U G B T z 0 B 5 i 5 n k P Y = 是 k e r n e l 3 2 . d l l 。 银 行 木 马 银 行 木 马 该 木 马 的 主 要 模 块 含 有 一 系 列 的 特 征 。 比 如 ， 会 尝 试 终 止 如 t a s k m g r . e x e ， m s c o n f i g . e x e ，   r e g e d i t . e x e   ， c c l e a n e r . e x e ，   c c l e a n e r 6 4 . e x e 这 类 程 序 。 该 模 块 会 用 H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n V m w a r e   B a s e 这 样 看 似 合 法 的 名 字 进 行 注 册 表 登 记 。 有 模 块 可 以 获 取 用 户 当 前 窗 口 的 名 字 ， 目 的 是 确 认 用 户 是 否 有 下 面 列 表 中 名 字 的 窗 口 。
这 个 列 表 包 含 了 位 于 巴 西 的 所 有 目 标 金 融 机 构 ， 木 马 注 入 可 以 允 许 他 们 与 银 行 网 站 进 行 交 互 。 主 模 块 的 另 一 个 任 务 是 用 r u n d l l 3 2 . e x e 执 行 最 后 的 二 进 制 文 件 g p s . p n g 。 该 库 使 用 T h e m i d a 进 行 封 装 ， 导 致 很 难 进 行 解 封 。 下 面 的 d e b u g 字 符 串 是 我 们 在 样 本 中 发 现 的 ， 这 些 字 符 串 是 葡 萄 牙 语 的 ： 当 受 感 染 的 主 机 执 行 特 定 操 作 的 时 候 ， 这 些 字 符 串 就 会 被 发 送 给 C 2 服 务 器 。 C 2 的 配 置 在 i . d k 纯 文 本 文 件 中 ， 该 文 件 使 用 A E S 2 5 6 加 密 。 包 含 有 日 期 ， I P 和 其 他 配 置 项 目 ， 如 下 ： 结 论 结 论 银 行 木 马 也 是 安 全 威 胁 的 一 部 分 ， 而 且 在 不 断 发 展 。 经 济 回 报 是 攻 击 者 的 主 要 动 因 ， 也 是 恶 意 软 件 持 续 发 展 的 原 因 之 一 ， T h e m i d a 这 样 的 商 业 封 装 软 件 使 对 恶 意 软 件 的 分 析 变 得 越 来 越 难 ， 而 且 这 种 趋 势 还 在 不 断 发 展 。 I O C s 参 考 来 源 ： h t t p : / / b l o g . t a l o s i n t e l l i g e n c e . c o m / 2 0 1 7 / 0 9 / b r a z i l b a n k i n g . h t m * 本 文 作 者 ： a n g 0 1 0 e l a ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理