搜索

[12591] 2018-04-15_对一款不到2KB大小的JavaScript后门的深入分析

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2018-04-15_对一款不到2KB大小的JavaScript后门的深入分析 对 一 款 不 到 2 K B 大 小 的 J a v a S c r i p t 后 门 的 深 入 分 析 s e c i s t   F r e e B u f   2 0 1 8 - 0 4 - 1 5 在 一 台 被 入 侵 的 服 务 器 上 ， 我 们 发 现 了 一 个 攻 击 者 遗 留 下 来 的 脚 本 。 该 脚 本 是 由 在 一 台 被 入 侵 的 服 务 器 上 ， 我 们 发 现 了 一 个 攻 击 者 遗 留 下 来 的 脚 本 。 该 脚 本 是 由 J a v a S c r i p t 编 写 的 ， 主 要 功 能 编 写 的 ， 主 要 功 能 是 作 为 是 作 为 W i n d o w s 后 门 及 后 门 及 C & C 后 端 使 用 。 在 这 里 我 首 先 要 向 大 家 说 声 抱 歉 ， 为 了 保 护 客 户 的 隐 私 ， 在 本 文 中 我 不 后 端 使 用 。 在 这 里 我 首 先 要 向 大 家 说 声 抱 歉 ， 为 了 保 护 客 户 的 隐 私 ， 在 本 文 中 我 不 会 对 一 些 细 节 做 太 多 的 探 讨 和 描 述 。 会 对 一 些 细 节 做 太 多 的 探 讨 和 描 述 。 该 脚 本 的 体 积 非 常 的 小 只 有 不 到 2 K B ， 唯 一 能 表 明 它 的 存 在 的 是 一 个 名 为 “ w s c r i p t . e x e ” 的 运 行 进 程 ， 这 是 一 个 合 法 的 W i n d o w s 程 序 。 脚 本 的 主 要 部 分 包 含 一 个 无 限 循 环 的 命 令 等 待 ， 在 将 查 询 字 符 串 “ r e f l o w ” 传 递 给 C & C   之 后 ， 它 会 休 眠 4 个 小 时 。 C & C 的 回 调 如 下 所 示 ： 为 了 获 取 更 多 的 信 息 ， 我 开 始 在 各 种 搜 索 引 擎 和 V i r u s T o t a l 中 搜 索 相 关 的 代 码 段 ， 但 令 我 失 望 的 是 我 什 么 也 没 发 现 。 因 此 ， 我 决 定 使 用 R e c o r d e d   F u t u r e 来 帮 助 我 寻 找 。 R e c o r d e d   F u t u r e 可 以 通 过 扫 描 并 分 析 成 千 上 万 网 站 、 博 客 、 t w i t t e r 帐 户 的 信 息 来 找 到 目 前 和 未 来 人 们 、 组 织 、 活 动 和 事 件 之 间 的 关 联 性 。 在 返 回 结 果 中 匹 配 了 三 个 在 2 0 1 7 年 1 2 月 删 除 的 匹 配 项 。 缓 存 的 数 据 和 链 接 回 的 源 帮 助 我 用 C & C 包 恢 复 了 压 缩 文 件 。 在 软 件 包 中 有 四 个 主 要 脚 本 （ 3 个 P H P 和 1 个 J a v a S c r i p t 文 件 ） 被 复 制 到 W e b 服 务 器 。 w e b 服 务 器 可 能 受 到 攻 击 者 控 制 或 受 到 其 它 手 段 的 危 害 。 其 中 的 主 要 脚 本 i n d e x . p h p 包 含 了 一 个 S V G 动 画 ， 当 访 问 者 碰 巧 访 问 该 页 面 后 ， 会 看 到 如 下 画 面 。 该 脚 本 显 示 ， 当 “ r e f l o w ” 传 递 到 页 面 时 ， 恶 意 J a v a S c r i p t 文 件 （ 被 重 命 名 为 一 个 P N G 文 件 ） 的 内 容 将 被 发 送 到 受 害 者 P C ， 并 通 过 后 门 脚 本 进 行 评 估 。 恶 意 脚 本 会 通 过 W M I 来 获 取 系 统 信 息 ， 然 后 将 该 信 息 作 为 其 身 份 验 证 方 法 的 一 部 分 发 回 。 在 这 里 我 们 可 以 看 到 ， 该 恶 意 脚 本 被 无 限 循 环 运 行 ， 等 待 上 传 ， 下 载 和 执 行 等 命 令 。 “ m A u t h ” 函 数 会 生 成 短 随 机 字 符 串 ， 并 将 它 们 与 系 统 信 息 连 接 起 来 ， 并 在 B a s e 6 4 编 码 后 的 C o o k i e 中 将 其 传 递 给 C & C 。 这 些 随 机 字 符 串 很 重 要 ， 因 为 它 们 被 用 作 标 记 来 识 别 包 含 在 它 们 之 间 的 指 令 。 数 据 通 过 A J A X 回 传 给 C & C 。 这 里 有 一 个 名 为 “ F i l l H e a d e r ” 的 函 数 用 来 填 充 H T T P 头 。 以 下 是 当 受 害 者 P C 检 查 时 H T T P 请 求 的 样 子 ： 对 c o o k i e 值 执 行 B a s e 6 4 解 码 结 果 在 第 二 行 。 在 第 二 个 符 号 显 示 系 统 信 息 后 ， 重 复 字 符 串 上 的 B a s e 6 4 解 码 。
其 中 的 一 个 P H P 脚 本 似 乎 是 一 个 模 板 ， 被 使 用 H T M L 代 码 修 改 以 使 页 面 看 起 来 合 法 （ 例 如 ， 它 包 含 实 际 网 页 的 一 部 分 ） 。 该 脚 本 被 重 命 名 并 由 i n d e x . p h p 脚 本 引 用 。 该 脚 本 具 有 负 责 上 传 和 下 载 文 件 以 及 创 建 活 动 日 志 的 所 有 功 能 。 日 志 文 件 包 括 受 害 者 的 I P 地 址 ， 上 传 和 下 载 的 文 件 ， 会 话 信 息 等 。 “ A u t h e n t i c a t i o n ” 函 数 读 取 来 自 受 害 者 的 c o o k i e 值 并 解 析 出 系 统 信 息 ， 以 及 定 义 用 于 创 建 日 志 文 件 名 的 变 量 。 受 害 者 的 用 户 名 和 计 算 机 名 称 为 M D 5 哈 希 ， 并 被 作 为 日 志 文 件 名 称 的 一 部 分 使 用 。 当 受 害 者 P C 连 接 到 C & C 时 ， 会 在 C & C 服 务 器 上 创 建 三 个 文 件 ： 包 中 的 最 后 一 个 P H P 脚 本 用 于 与 受 害 P C 进 行 交 互 ， 并 将 命 令 发 送 给 受 害 P C 。 请 注 意 t i m e z o n e 和 有 趣 的 l o g i n 方 法 。 可 用 的 命 令 非 常 有 限 ， 但 这 已 经 足 以 让 攻 击 者 将 更 多 更 强 大 的 工 具 上 传 到 受 害 者 的 P C 上 ， 并 获 取 更 进 一 步 的 网 络 访 问 权 限 。 最 后 ， 如 果 攻 击 者 意 识 到 他 们 即 将 被 发 现 ， 他 们 可 以 使 用 此 脚 本 中 内 置 的 另 一 组 命 令 ， 来 删 除 所 有 重 要 的 日 志 文 件 。 * 参 考 来 源 ： 参 考 来 源 ： k a h u s e c u r i t y ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理