搜索

[12244] 2018-01-16_新年大礼包新型Emotet变种重现江湖

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-16_新年大礼包新型Emotet变种重现江湖 新 年 大 礼 包   |   新 型 E m o t e t 变 种 重 现 江 湖 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 1 - 1 6 近 期 ， 安 全 厂 商 近 期 ， 安 全 厂 商 M i n e r v a 发 现 了 新 型 的 发 现 了 新 型 的 E m o t e t 变 种 活 动 ， 而 这 种 以 变 种 活 动 ， 而 这 种 以 “ 圣 诞 快 乐 圣 诞 快 乐 ” （ （ E m o t e t   G r i n c h ） 为 主 题 的 ） 为 主 题 的 E m o t e t 变 种 正 在 酝 酿 新 年 里 的 第 一 波 攻 击 。 变 种 正 在 酝 酿 新 年 里 的 第 一 波 攻 击 。 目 前 ， 网 络 犯 罪 分 子 正 在 积 极 利 用 新 型 的 E m o t e t 变 种 来 进 行 疯 狂 攻 击 ， 而 这 种 E m o t e t 变 种 能 够 稳 定 绕 过 目 标 系 统 中 某 些 基 本 的 安 全 控 制 措 施 。 M i n e r v a 将 这 种 新 型 的 E m o t e t 变 种 称 之 为 “ E m o t e t   G r i n c h ” ， 跟 很 多 基 于 恶 意 邮 件 的 感 染 过 程 类 似 ， E m o t e t 攻 击 者 主 要 通 过 恶 意 邮 件 来 实 现 感 染 ， 而 邮 件 中 则 包 含 一 个 指 向 恶 意 文 档 “ Y o u r   H o l i d a y s   e C a r d . d o c ” 的 链 接 地 址 。 当 然 了 ， 这 个 文 档 将 会 引 诱 目 标 用 户 启 用 嵌 入 在 其 中 的 恶 意 宏 ： 接 下 来 的 攻 击 步 骤 跟 之 前 的 E m o t e t 活 动 类 似 ： 恶 意 宏 会 利 用 下 列 字 符 串 作 为 参 数 并 执 行 c m d . e x e ：
脚 本 中 包 含 了 一 些 用 于 实 现 混 淆 处 理 的 代 码 ， 用 于 在 多 个 变 量 中 隐 藏 字 符 串 “ p o w e r s h e l l ” ， 攻 击 者 对 其 进 行 了 编 译 并 会 在 攻 击 的 下 个 阶 段 中 执 行 这 部 分 恶 意 代 码 。 简 而 言 之 ， 这 是 一 个 无 文 件 型 的 P o w e r S h e l l   P a y l o a d 。 在 之 前 的 E m o t e t 攻 击 活 动 中 ， P a y l o a d 代 码 中 最 开 始 是 一 段 经 过 混 淆 处 理 的 I n v o k e - E x p r e s s i o n 函 数 调 用 ， 后 面 跟 着 一 个 经 过 混 淆 处 理 的 字 符 串 ， 分 析 后 我 们 发 现 这 又 是 另 一 个 恶 意 P o w e r S h e l l 脚 本 ： 环 境 变 量 “ c o m s p e c ” 中 包 含 了 指 向 c m d . e x e 的 路 径 地 址 ， 并 会 通 过 字 符 串 “ i e x ” 来 调 用 I n v o k e - E x p r e s s i o n ： 跟 之 前 的 E m o t e t 攻 击 不 同 的 是 ， E m o t e t   G r i n c h 选 择 使 用 三 重 I n v o k e - E x p r e s s i o n 层 来 包 装 它 的 “ 礼 物 ” 。 每 一 层 都 会 调 用 一 行 命 令 来 对 字 符 串 “ i e x ” 进 行 拆 解 。 第 一 层 使 用 了 “ M a x i m u m D r i v e C o u n t ” ： 第 二 层 使 用 了 “ $ S h e l l i d ” 变 量 ： 第 三 层 使 用 了 “ $ V e r b o s e P r e f e r e n c e ” ：
这 种 混 淆 技 术 还 结 合 了 字 符 串 替 换 技 术 （ 例 如 使 用 字 母 “ C ” 替 换 字 符 串 “ g a r B a G e ” ） ， 这 样 就 可 以 绕 过 一 些 常 见 的 静 态 检 测 以 及 安 全 产 品 了 ， 因 为 检 测 工 具 很 难 “ 突 破 ” 多 个 层 最 终 扫 描 到 其 恶 意 功 能 。 反 混 淆 完 成 之 后 ， 下 图 所 示 的 脚 本 代 码 将 会 在 目 标 用 户 的 主 机 系 统 中 执 行 ： 在 P o w e r S h e l l 脚 本 的 初 始 阶 段 ， 它 会 从 硬 编 码 列 表 中 的 五 个 域 名 下 载 E m o t e t 可 执 行 P a y l o a d ， 并 随 机 执 行 。 需 要 注 意 的 是 ， 跟 之 前 的 E m o t e t 可 执 行 P a y l o a d 不 同 ， 广 大 用 户 可 以 使 用 M i n e r v a 自 制 的 E m o t e t 免 疫 程 序 来 避 免 感 染 E m o t e t 变 种 ： 总 结 总 结 如 果 用 户 不 幸 感 染 了 本 文 所 介 绍 的 E m o t e t   G r i n c h ， 大 家 可 以 使 用 M i n e r v a 的 恶 意 文 档 防 御 模 块 来 在 E m o t e t 攻 击 的 第 一 阶 段 切 断 感 染 链 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 恶 意 文 档 的 S H A 2 5 6 ：
负 责 托 管 可 执 行 P a y l o a d 的 U R L 地 址 ： 如 需 获 取 更 多 U R L 地 址 ， 可 参 考 P a s t e b i n 的 这 份 文 档 ： 【 传 送 门 】 。 负 责 托 管 恶 意 文 档 的 U R L 地 址 ： *   参 考 来 源 ： m i n e r v a ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理