搜索

[13107] 2018-08-25_分析一个用于传播Hancitor恶意软件的Word文档（第一部分）

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2018-08-25_分析一个用于传播Hancitor恶意软件的Word文档（第一部分） 分 析 一 个 用 于 传 播 H a n c i t o r 恶 意 软 件 的 W o r d 文 档 （ 第 一 部 分 ） H y d r a l a b   F r e e B u f   2 0 1 8 - 0 8 - 2 5 最 近 ， 最 近 ， T e c h H e l p L i s t 将 一 个 用 于 传 播 将 一 个 用 于 传 播 H a n c i t o r 恶 意 软 件 的 恶 意 软 件 的 W o r d 文 档 上 传 到 了 文 档 上 传 到 了 V i r u s B a y ， 并 概 述 了 与 之 相 关 的 站 ， 并 概 述 了 与 之 相 关 的 站 点 、 点 、 C 2 服 务 器 以 及 由 该 文 档 所 释 放 的 服 务 器 以 及 由 该 文 档 所 释 放 的 p a y l o a d 。 由 于 。 由 于 H a n c i t o r 通 常 被 用 于 下 载 通 常 被 用 于 下 载 P o n y 和 和 Z e u s P a n d a 恶 意 软 件 ， 因 此 恶 意 软 件 ， 因 此 我 决 定 对 这 个 文 档 进 行 分 析 ， 以 了 解 程 序 流 程 和 功 能 。 我 决 定 对 这 个 文 档 进 行 分 析 ， 以 了 解 程 序 流 程 和 功 能 。 恶 意 文 档 恶 意 文 档 在 打 开 恶 意 文 档 之 后 ， 我 们 首 先 会 看 到 一 张 图 片 ， 告 诉 我 们 有 一 份 新 的 传 真 电 文 ， 并 且 只 有 在 单 击 “ E n a b l e E d i t i n g ” 和 “ E n a b l e   C o n t e n t ” 之 后 才 能 查 看 具 体 的 内 容 。 可 恨 的 是 ， 在 点 击 了 所 述 的 按 钮 之 后 ， 我 仍 然 没 有 能 够 看 到 传 真 电 文 的 实 质 内 容 。 好 吧 ！ 反 正 我 也 不 想 看 。 在 我 们 激 活 了 宏 的 几 秒 钟 之 后 ， W o r d 突 然 退 出 ， 给 人 的 印 象 是 “ W o r d 似 乎 崩 溃 了 ” 。 正 如 你 可 能 已 经 猜 到 的 那 样 ， W o r d 并 没 有 崩 溃 ， 实 际 上 这 是 H a n c i t o r 恶 意 软 件 所 使 用 的 一 种 策 略 。 它 提 取 了 一 个 经 打 包 的 可 执 行 文 件 ， 并 用 一 个 干 净 版 本 （ 即 不 包 含 恶 意 宏 ） 替 换 了 恶 意 文 档 ， 以 防 止 出 现 几 个 H a n c i t o r 实 例 同 时 运 行 的 情 况 。 恶 意 宏 恶 意 宏 接 下 来 ， 让 我 们 来 看 看 恶 意 宏 ， 你 会 注 意 到 D o c u m e n t _ O p e n ( ) 子 程 序 首 先 会 被 执 行 ， 但 是 还 有 一 个 D o c u m e n t _ C l o s e ( ) 子 程 序 会 在 程 序 关 闭 时 执 行 ， 它 调 用 了 子 程 序 c l o s e e ( ) 。 让 我 们 暂 时 先 忘 掉 这 个 最 后 被 执 行 D o c u m e n t _ C l o s e ( ) 子 程 序 ， 来 看 看 这 个 首 先 被 执 行 的 D o c u m e n t _ O p e n ( ) 子 程 序 。
通 过 查 看 它 ， 你 会 发 现 D o c u m e n t _ O p e n ( ) 负 责 调 用 另 外 3 个 子 程 序 ： k f s ( ) 、 s d f s d f ( ) 和 M o d u l e 1 . k i l l o ( ) 。 接 着 ， 让 我 们 看 看 每 个 函 数 的 作 用 。 k f s ( ) k f s ( ) 看 上 去 像 是 垃 圾 代 码 ， 因 为 它 的 作 用 只 是 简 单 地 将 页 面 向 下 移 动 1 4 ， 向 右 移 动 2 4 ， 使 用 b a c k s p a c e 一 次 ， 然 后 复 制 一 些 东 西 ， 而 这 并 不 会 造 成 太 大 的 影 响 。
这 让 我 感 到 很 困 惑 ， 因 为 H a n c i t o r 的 开 发 者 应 该 不 会 做 一 些 无 用 功 。 于 是 ， 我 决 定 对 文 档 和 宏 进 行 了 更 细 致 的 观 察 。 我 注 意 到 ， 在 恶 意 文 档 中 有 一 个 很 小 的 但 很 显 眼 的 小 黄 点 。 我 们 可 以 点 击 它 并 将 其 放 大 ， 从 而 看 到 这 样 一 张 图 片 ： 在 查 看 了 下 一 个 子 程 序 s d f s d f ( ) 之 后 ， 我 明 白 了 这 张 图 片 的 作 用 。 我 们 在 下 图 中 可 以 看 到 ， 恶 意 宏 将 目 录 更 改 为 了 “ T E M P ” ， 并 创 建 了 一 个   S c r i p t i n g . F i l e S y s t e m O b j e c t 。 S c r i p t i n g . F i l e S y s t e m O b j e c t 会 将 5 C . p i f 的 内 容 复 制 到
U s e r F o r m 2 . T e x t B o x 1 . T e x t 和 6 . p i f ， 然 后 返 回 。 s d f s d f ( ) s d f s d f ( ) 似 乎 负 责 提 取 恶 意 代 码 ， 因 为 在 与 文 档 中 的 . p i f 图 标 交 互 时 ， 它 会 在 % T E M P % 文 件 夹 中 创 建 一 个 快 捷 方 式 文 件 ， 即 使 你 没 有 单 击 启 用 宏 。 在 关 闭 文 档 时 ， 快 捷 方 式 文 件 会 消 失 。 因 此 ， 它 似 乎 是 由 恶 意 文 档 所 创 建 的 临 时 文 件 。 这 样 ， s d f s d f ( ) 就 能 够 将 内 容 复 制 到 另 一 个 文 件 ， 而 不 是 执 行 5 C . p i f 。 此 外 ， 将 5 C . p i f 的 数 据 复 制 到 U s e r F o r m 2 . T e x t B o x 1 . T e x t ， 还 会 导 致 一 个 名 为 “ 6 . e x e ” 的 文 件 在 % T E M P % 文 件 夹 中 被 创 建 。 实 际 上 ， 6 . e x e   和   6 . p i f 是 两 个 完 全 相 同 的 文 件 ， 只 是 文 件 扩 展 名 不 同 而 已 。 让 我 想 想 ， 如 果 . p i f 文 件 被 嵌 入 在 文 档 中 ， 那 么 我 们 该 如 何 提 取 它 呢 ？ 又 怎 样 才 能 找 到 这 个 文 件 的 位 置 呢 ？ 这 让 我 想 到 了 名 为 h e x e d i t 和   C F F   E x p l o r e r 的 小 工 具 。 我 在 主 机 上 执 行 了   h e x e d i t   ， 看 看 是 否 可 以 通 过 检 查 十 六 进 制 代 码 找 到 嵌 入 的 文 件 。 由 于 . p i f 文 件 的 执 行 方 式 与 可 执 行 文 件 相 同 ， 因 此 我 搜 索 了 “ M Z ” 。 果 然 ， 我 能 够 在 一 个 有 意 思 的 文 件 路 径 下 找 到 嵌 入 的 文 件 ， 可 能 来 自 攻 击 者 的 主 机 ： C : U s e r s w i n 7 h o m e D e s k t o p 5 C . p i f 现 在 ， 我 们 已 经 找 到 了 这 个 文 件 ， 它 可 以 被 确 认 为 一 个 可 执 行 文 件 ， 我 们 可 以 使 用 C F F   E x p l o r e r 或 其 他 十 六 进 制 查 看 器 / 转 储 工 具 来 提 取 它 。 只 需 要 搜 索 “   M Z   ” ， 并 单 击 鼠 标 右 键 选 择 B e g i n   O f   B l o c k ， 然 后 滚 动 到 可 执 行 文 件 的 末 尾 （ 在 文 件 信 息 之 后 ） ， 并 单 击 鼠 标 右 键 选 择 E n d   O f   B l o c k 。 然 后 ， 再 次 单 击 鼠 标 右 键 并 选 择 C o p y   - >   I n t o   N e w   F i l e 。 使 用 这 种 方 法 ， 你 最 终 得 到 的 哈 希 值 可 能 会 与 原 始 文 件 的 哈 希 值 有 所 不 同 ， 因 为 你 比 预 期 多 复 制 了 一 个   “ 0 0 ” ， 但 这 似 乎 不 会 影 响 程 序 的 整 体 执 行 。
M o d u l e 1 . k i l l o ( ) 现 在 ， 我 们 已 经 提 取 到 了 可 执 行 文 件 ， 以 供 进 一 步 分 析 使 用 。 让 我 们 回 到 宏 ， 并 查 看 最 后 一 个 子 程 序 M o d u l e 1 . k i l l o ( ) 。 简 单 来 说 ， k i l l o ( ) 负 责 保 存 W o r d 文 档 的 干 净 版 本 （ 即 不 包 含 恶 意 宏 ） 。 为 此 ， 它 将 其 保 存 为 X M L 格 式 ， 从 而 删 除 文 件 中 的 所 有 宏 。 最 后 ， k i l l o ( ) 会 终 止 程 序 ， 让 它 看 起 来 像 是 意 外 崩 溃 。 到 这 里 ， 恶 意 宏 看 起 来 似 乎 就 已 经 执 行 完 了 ， 但 实 际 上 什 么 也 没 有 发 生 。 在 这 种 情 况 下 ， 你 忘 记 了 前 面 提 到 的 会 在 程 序 关 闭 时 执 行 的 D o c u m e n t _ C l o s e ( ) 和 c l o s e e ( ) 。   就 如 前 面 所 提 到 的 那 样 ， 有 一 个 D o c u m e n t _ C l o s e ( ) 子 程 序 会 在 程 序 关 闭 时 执 行 ， 它 调 用 了 子 程 序 c l o s e e ( ) 。 因 此 ， 需 要 重 点 关 注 的 函 数 似 乎 是 c l o s e e ( ) 。 首 先 ， 恶 意 宏 会 使 用 W M I 查 询 来 查 看 当 前 正 在 运 行 的 进 程 列 表 ： 然 后 ， 一 个 f o r   循 环 被 执 行 ， 遍 历 列 表 中 的 每 个 进 程 ， 记 为 x 。 对 于 每 个 进 程 ， 将 进 程 名 称 与 b d a g e n t . e x e 和 P S U A M a i n . e x e 进 行 比 较 。 从 名 称 上 看 ， 它 们 像 是 由 恶 意 软 件 下 载 的 恶 意 文 件 ， 以 防 止 出 现 几 个 H a n c i t o r 实 例 同 时 运 行 的 情 况 。 但 在 我 通 过 G o o g l e 搜 索 之 后 发 现 ， b d a g e n t . e x e 与 B i t D e f e n d e r 相 关 联 ， 而 P S U A M a i n . e x e 与 P a n d a   S e c u r i t y 相 关 联 。 因 此 ， 恶 意 软 件 似 乎 是 在 检 查 这 两 个 防 病 毒 程 序 ， 并 为 每 个 程 序 运 行 不 同 的 执 行 方 法 。 如 果 b d a g e n t . e x e 正 在 运 行 ， 恶 意 宏 则 将 创 建 % T E M P % 1 . h t a 并 将 句 柄 存 储 在 # 1 中 。 当 你 看 到 P r i n t ＃ 1 时 ， 宏 实 际 上 正 在 将 字 符 串 写 入 1 . h t a ， 而 不 是 将 其 显 示 出 来 。 具 体 来 讲 ， 宏 会 对 经 编 码 的 字 符 串 进 行 B a s e 6 4 解 码 （ 使 用 D e c o d e B a s e 6 4 ( ) ） ， 将 其 转 换 为 u n i c o d e 字 符 串 ， 然 后 写 入 1 . h t a 。 在 进 行 了 两 次 之 后 ， 文 件 会 被 关 闭 。 最 后 ， 使 用   一 个   W S c r i p t . S h e l l 对 象 将 1 . h t a 移 动 到 ％ T E M P ％ 文 件 夹 并 以 静 默 方 式 执 行   ， 然 后 宏 退 出 。 S E L E C T   *   F R O M   W i n 3 2 _ P r o c e s s
在 解 码 这 些 字 符 串 之 后 ， 我 们 可 以 很 清 楚 地 看 到 H a n c i t o r 同 时 使 用 了 V i s u a l   B a s i c 脚 本 和 J a v a S c r i p t 来 执 行 6 . e x e 。 有 意 思 的 地 方 在 于 ， 这 个 恶 意 软 件 并 非 直 接 通 过 执 行 可 执 行 文 件 来 执 行 最 终 的 p a y l o a d ， 而 是 创 建 了 一 个 . h t a 文 件 ， 但 前 提 是 b d a g e n t . e x e 正 在 运 行 。 这 也 许 是 因 为 b d a g e n t 不 会 对 . h t a 文 件 进 行 扫 描 ？ 无 论 原 因 如 何 ， 让 我 们 先 回 到 宏 。 如 果 进 程 名 称 与 P S U A M a i n . e x e 匹 配   ， 则 另 外 2 个 字 符 串 会 被 解 码 并 用 于 形 成 s h e l l 命 令 ， 由 S h e l l 在 行 的 开 头 执 行 。 在 解 码 之 后 ， 我 得 到 了 如 下 命 令 ： 这 个 p i n g 命 令 似 乎 用 于 推 迟 6 . e x e 的 执 行 ， 使 得 它 会 在 p i n g 退 出 后 执 行 。 在 执 行 c m d . e x e 之 后 ， 宏 也 会 退 出 。 c m d . e x e   / c   p i n g   l o c a l h o s t   - n   1 0 0   & & % T E M P % 6 . e x e
最 后 ， 如 果 没 有 进 程 名 称 与 b d a g e n t . e x e 或   P S U A M a i n . e x e 匹 配 ， 则   f o r   循 环 结 束 ， 然 后 执 行 一 个 S h e l l 命 令 （ 由 3 个 b a s e 6 4 编 码 的 字 符 串 组 成 ） 。 在 解 码 之 后 ， 我 得 到 了 如 下 命 令 ： c m d . e x e   / c   p i n g   l o c a l h o s t   - n   1 0 0   & & % T E M P % 6 . p i f 我 们 可 以 看 出 ， 如 果 没 有 找 到 匹 配 项 ， 恶 意 软 件 则 会 执 行 6 . p i f ， 而 不 是     6 . e x e   或   1 . h t a 。 我 不 确 定 为 什 么 会 这 样 ， 但 我 相 信 它 背 后 必 然 有 一 大 堆 理 论 ， 只 是 我 还 没 有 找 到 。 一 旦 执 行 了 最 终 的 p a y l o a d ， 宏 的 运 行 也 就 结 束 了 ， 只 留 下 6 . e x e 或   6 . p i f 运 行 。 概 要 概 要 l   嵌 入 在 恶 意 文 档 中 的 宏 被 启 用 ； l   6 . e x e 和 6 . p i f 在 % T E M P % 文 件 夹 中 被 创 建 ； l   一 个 干 净 的 文 档 被 创 建 ， 并 替 换 恶 意 文 档 ； l   恶 意 文 档 退 出 ， 但 宏 将 一 直 运 行 到 返 回 为 止 ； l   恶 意 软 件 会 检 查 b d a g e n t . e x e 和 P S U A M a i n . e x e 是 否 在 运 行 ： 如 果 b d a g e n t . e x e 正 在 运 行 ， 恶 意 软 件 将 在 ％ T E M P ％ 文 件 夹 中 创 建 1 . h t a ， 然 后 执 行 该 文 件 夹 ， 从 而 导 致 6 . e x e 运 行 ； 如 果 P S U A M a i n . e x e 正 在 运 行 ， 恶 意 软 件 会 执 行 一 个 s h e l l 命 令 ， 该 命 令 首 先 运 行 p i n g . e x e ， 然 后 运 行 6 . e x e ； 如 果 两 个 进 程 都 没 有 运 行 ， 恶 意 软 件 会 执 行 一 个 s h e l l 命 令 ， 首 先 运 行 6 . e x e   ， 然 后 运 行 6 . p i f 。 l   恶 意 w o r d 文 档 完 全 退 出 ， 只 留 下 6 . e x e   或   6 . p i f 运 行 。 I o C 恶 意 W o r d 文 档 （ M D 5 ） ： 0 0 9 5 5 c 1 d b 3 0 d d c 1 7 2 0 8 6 a 0 6 1 a b 1 5 8 f 0 0 6 . e x e / p i f （ M D 5 ） ： 9 9 2 f 0 7 9 a 8 3 2 8 2 0 c 6 1 3 8 8 f 7 5 3 d a b 1 1 1 4 d 参 考 来 源 ： 参 考 来 源 ： 0 f f s e t ， ， H y d r a l a b   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理