搜索

[12895] 2018-07-02_抽丝剥茧：AgentTelsa最新变种脱壳分析

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-07-02_抽丝剥茧：AgentTelsa最新变种脱壳分析 抽 丝 剥 茧 ： A g e n t   T e l s a 最 新 变 种 脱 壳 分 析 V o r a k a   F r e e B u f   2 0 1 8 - 0 7 - 0 2 近 日 ， 我 们 检 测 到 大 量 经 过 相 同 加 壳 混 淆 过 的 近 日 ， 我 们 检 测 到 大 量 经 过 相 同 加 壳 混 淆 过 的 . N E T   恶 意 木 马 文 件 ， 经 过 进 一 步 深 入 分 析 发 现 ， 该 木 马 是 带 隐 恶 意 木 马 文 件 ， 经 过 进 一 步 深 入 分 析 发 现 ， 该 木 马 是 带 隐 私 窃 取 功 能 的 后 门 木 马 私 窃 取 功 能 的 后 门 木 马   A g e n t   T e s l a 。 从 。 从 2 0 1 4 年 起 至 今 ， 年 起 至 今 ， A g e n t   T e s l a 已 经 由 一 个 键 盘 记 录 器 变 身 成 为 一 款 专 业 已 经 由 一 个 键 盘 记 录 器 变 身 成 为 一 款 专 业 的 商 业 间 谍 软 件 。 本 文 主 要 介 绍 如 何 将 的 商 业 间 谍 软 件 。 本 文 主 要 介 绍 如 何 将 A g e n t   T e s l a   间 谍 软 件 抽 丝 剥 茧 出 来 。 间 谍 软 件 抽 丝 剥 茧 出 来 。 样 本 分 析 样 本 分 析 0 x 1   S t a g e 1 这 是 一 个 . N E T 应 用 程 序 ， 我 们 从 这 个 入 口 点 来 开 始 分 析 ： 可 以 看 出 函 数 W e b B r o w s e r D o c u m e n t C o m p l e t e d E v e n t A r g s 是 一 个 A s s e m b l y 方 法 ， 如 图 : 通 过 b a s e 6 4 解 码 出 一 段 代 码 ， 然 后 将 动 态 编 译 成 d l l 并 通 过 反 射 的 方 式 执 行 这 段 代 码 。 解 码 的 代 码 如 图 ： s t a g e 1 . c s ， 主 函 数 代 码 如 图 ：
F i n d R e s o u r c e 函 数 的 参 数 在 M S D N 的 定 义 ， 如 下 ： 通 过 P E   E x p l o r e r 查 看 该 样 本 的 资 源 段 ， 发 现 了 被 加 密 的 p a y l o a d 即 资 源 为 1 2 4 的 P N G 图 片 ， 如 图 ： 在 s t a g e 1 . c s 的 代 码 中 ， 找 到 了 解 密 上 面 p a y l o a d 的 代 码 ， 如 图 ：
可 以 看 出 p a y l o a d 的 解 密 方 式 为 异 或 ， 密 钥 为 U n i c o d e 字 符 串 ” Q z E w I Y N h X A J L ” 的 字 节 码 。 由 于 是 在 内 存 中 通 过 反 射 方 式 执 行 上 面 解 密 的 p a y l o a d ， 若 要 d u m p 解 密 后 的 p a y l o a d ， 需 手 动 写 代 码 进 行 解 密 。 将 s t a g e 1 . c s 稍 作 修 改 ， 部 分 代 码 如 下 ： 将 上 面 的 代 码 编 译 并 运 行 ， 解 密 生 成 s t u b . e x e 文 件 。 0 x 2   S t a g e 2 将 上 面 的 s t u b . e x e 载 入 d n S p y 继 续 分 析 ， 如 下 图 ：
首 先 发 现 该 样 本 有 三 个 资 源 ， 第 一 个 资 源 是 包 含 许 多 看 似 b a s e 6 4 编 码 的 字 符 串 的 文 本 ， 第 二 个 和 第 三 个 是 二 进 制 文 件 。 资 源 一   ( 6 i e 5 8 G z m U q G P 5 Y 3 w ) 由 上 图 可 以 看 出 ， 资 源 一 中 的 字 符 串 是 用 b a s e 6 4 编 码 的 ， 将 资 源 一 的 内 容 复 制 出 来 ， 编 写 代 码 如 下 ： 解 码 后 的 字 符 串 ， 如 图 ：
资 源 二 ( Y w d T X m E l B r v D ) 读 取 资 源 二 的 字 节 码 并 解 密 ， 如 图 ： 通 过 b a s e 6 4 解 码 密 钥 k e y :   U n i c o d e 字 符 串 ” o J U E U A n Y N D g G ” 的 字 节 码 。 如 图 ： 将 资 源 二 与 上 面 的 k e y 进 行 异 或 ， 得 到 p a y l o a d 2 . e x e ， 如 图 ：
将 资 源 二 解 密 得 到 的 p a y l o a d 保 存 为 ” p a y l o a d 2 . e x e ” ， 进 一 步 分 析 后 发 现 是 一 个 蠕 虫 病 毒 M o f k s y s ， 主 要 通 过 网 络 共 享 ， 可 移 动 驱 动 器 和 电 子 邮 件 传 播 。   并 通 过 S M T P 将 收 集 到 的 敏 感 数 据 发 送 给 攻 击 者 。 资 源 三   ( O h D K M g m I C C Q A ) 将 解 密 的 恶 意 p a y l o a d 注 入 进 程 ” C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 v b c . e x e ” ， 如 图 ： 将 资 源 三 的 字 节 码 与 U n i c o d e 字 符 串 ” o J U E U A n Y N D g G ” 的 字 节 码 进 行 异 或 解 密 ， 如 图 ： 将 资 源 三 解 密 得 到 的 p a y l o a d 保 存 为 ” p a y l o a d 3 . e x e ” ， 通 过 进 一 步 分 析 发 现 是 A g e n t   T e l s a 的 一 个 变 种 。 A g e n t   T e s l a 是 一 款 强 大 的 信 息 窃 取 木 马 。   它 提 供 了 通 过 键 盘 和 屏 幕 截 图 监 控 他 人 的 计 算 机 。   键 盘 ， 屏 幕 截 图 和 注 册 密 码 均 以 日 志 形 式 发 送 。   可 以 通 过 电 子 邮 件 ， f t p 或 p h p （ 网 页 面 板 ） 接 收 日 志 。 如 下 图 ：
0 x 3   S t a g e 3 将 上 面 的 ” p a y l o a d 3 . e x e ” 载 入 d n s p y 继 续 分 析 。 恶 意 代 码 中 敏 感 的 字 符 串 都 被 加 密 了 ， 如 图 ： 查 看 解 密 代 码 ， 如 图 ： 发 现 加 密 算 法 为 b a s e 6 4 + A E S ， 编 写 解 密 代 码 ， 将 所 有 加 密 字 符 串 解 密 ， 如 图 ： 设 置 键 盘 钩 子 ， 获 取 键 盘 记 录 ， 如 图 ：
反 模 拟 器 ， 反 调 试 ， 如 图 ： 睡 眠 1 5 秒 后 继 续 执 行 ， 通 过 延 时 机 制 躲 避 某 些 杀 毒 软 件 模 拟 器 的 检 测 ， 如 图 ： 检 测 模 拟 器 的 计 算 机 名 ， 如 果 是 图 中 的 名 字 则 退 出 。 如 图 ： 获 取 屏 幕 截 图 ， 如
图 ： 获 取 粘 贴 板 内 容 ， 如 图 ： 限 于 篇 幅 限 制 ， 不 再 一 一 列 出 ， 下 面 是 该 木 马 的 主 要 功 能 ， 如 图 ： 该 木 马 使 用 的 C & C 配 置 信 息 ， 如 下 ： 木 马 作 者 的 使 用 的 邮 箱 ， 如 图 ：
出 于 ” 安 全 研 究 “ 的 目 的 ， 我 登 陆 了 木 马 作 者 的 邮 箱 ， 主 要 为 了 研 究 以 下 几 点 ： 1 .   木 马 攻 击 的 开 始 时 间 2 .   木 马 感 染 者 的 数 量 3 .   木 马 感 染 者 的 地 域 分 布 4 .   木 马 感 染 / 传 播 方 式 5 .   木 马 作 者 溯 源 截 至 今 天 ， 已 经 累 计 收 到   6 0 0 0 + 的 邮 件 ， 如 图 ： 获 取 被 感 染 用 户 密 码 信 息 ， 如 图 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理