搜索

[13239] 2018-09-28_新Njrat木马（Bladabindi）的新功能源码分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-09-28_新Njrat木马（Bladabindi）的新功能源码分析 新 N j r a t 木 马 （ B l a d a b i n d i ） 的 新 功 能 源 码 分 析 s i 1 e n c e   F r e e B u f   2 0 1 8 - 0 9 - 2 8 0 x 0   背 景 背 景 N j r a t ， 又 称 ， 又 称 B l a d a b i n d i ， 该 木 马 家 族 使 用 ， 该 木 马 家 族 使 用 . N E T 框 架 编 写 ， 是 一 个 典 型 的 框 架 编 写 ， 是 一 个 典 型 的 R A T 类 程 序 ， 通 过 控 制 端 可 以 操 作 受 控 类 程 序 ， 通 过 控 制 端 可 以 操 作 受 控 端 的 文 件 、 进 程 、 服 务 、 注 册 表 内 容 ， 也 可 以 盗 取 受 控 端 的 浏 览 器 的 保 存 的 密 码 信 息 等 内 容 。 端 的 文 件 、 进 程 、 服 务 、 注 册 表 内 容 ， 也 可 以 盗 取 受 控 端 的 浏 览 器 的 保 存 的 密 码 信 息 等 内 容 。 新 版 的 新 版 的 N j r a t 新 增 了 更 加 流 行 的 一 些 功 能 点 ， 如 勒 索 压 力 测 试 ， 新 增 了 更 加 流 行 的 一 些 功 能 点 ， 如 勒 索 压 力 测 试 ， B T C 钱 包 采 集 、 对 抗 安 全 工 具 等 使 用 新 功 能 。 钱 包 采 集 、 对 抗 安 全 工 具 等 使 用 新 功 能 。 客 户 端 ( C l i e n t ) 生 成 界 面 与 后 台 控 制 端 ( S e r v e r ) 如 图 ： 0 x 1   源 码 分 析 源 码 分 析 总 体 代 码 结 构 比 上 一 个 版 本 会 显 得 更 加 丰 富 了 一 些 ， 这 里 重 点 看 一 下 新 增 部 分 的 内 容 。
0 x 2   勒 索 加 密 与 解 密 勒 索 加 密 与 解 密 最 开 始 是 先 获 取 了 二 个 路 径 A p p l i c a t i o n d a t a 和 S t a r t u p 二 个 特 殊 路 径 ， 然 后 从 M y p a t h 一 个 输 入 型 变 量 的 路 径 开 始 与 最 开 始 的 二 个 路 径 进 行 比 较 后 ， 调 用 C r y p t 方 法 进 行 加 密 。
主 要 加 密 的 文 件 目 录 如 下 : 加 密 算 法 主 要 使 用 了 A E S 对 称 加 密 体 制 同 时 采 用 了 电 码 本 模 式 E C B ( E l e c t r o n i c   C o d e b o o k   B o o k ) ， 过 程 中 定 义 了 3 2 个 B y t e 的 密 钥 分 组 ， 分 组 密 钥 长 度 为 2 5 6 位 。 对 称 加 密 ， 解 密 算 法 与 之 基 本 一 致 。 0 x 3   压 力 测 试 压 力 测 试 ( D D O S ) 木 马 主 要 内 置 了 S l o w l o r i s 作 为 流 量 攻 击 的 主 体 ， 这 个 玩 意 评 价 很 高 可 以 用 很 少 的 带 宽 实 现 攻 击 效 果 。 核 心 的 调 用 方 法 如 下 ：
0 x 4   U 盘 感 染 盘 感 染 首 先 获 取 到 系 统 的 设 备 信 息 然 后 找 到 已 经 连 接 好 类 型 为 R e m o v a b l e 类 型 的 磁 盘 ， 获 取 到 U 盘 的 文 件 路 径 与 木 马 母 体 的 路 径 ， 并 更 改 隐 藏 属 性 。 将 真 实 存 在 的 文 件 全 部 设 置 为 隐 藏 文 件 ， 并 新 建 L i n k 类 型 的 快 捷 方 式 。 用 户 在 点 击 l i n k 运 行 快 捷 方 式 的 同 时 ， 将 会 自 动 触 发 病 毒 母 体 的 运 行 。
0 x 5   排 除 异 己 排 除 异 己 木 马 运 行 时 将 会 检 查 系 统 当 中 是 否 存 在 一 些 安 全 查 杀 工 具 与 虚 拟 机 检 测 ， 发 现 后 讲 干 掉 这 些 异 己 。 ( 仿 佛 明 白 了 为 什 么 P C h u n t e r 每 次 的 进 程 名 都 是 随 机 字 符 串 的 原 因 ) 例 举 几 个 被 监 控 的 安 全 工 具 ： P r o c e s s   H a c k e r P r o c e s s   E x p l o r e r d n S p y S a n d b o x i e   C o n t r o l w i r e s h a r k S p y T h e S p y R e f l e c t o r 0 x 6   总 结 总 结 1 . 现 在 木 马 增 加 了 很 多 对 抗 安 全 工 具 的 方 式 ， 日 常 应 急 响 应 过 程 中 需 要 格 外 仔 细 检 查 2 . 有 更 多 基 本 功 能 的 分 析 比 如 一 些 通 信 协 议 、 获 取 键 盘 信 息 、 远 程 控 制 等 操 作 可 移 步 菠 菜 大 佬 安 全 分 析 过 的 文 章 ：
【 传 送 门 】 。 * 本 文 原 创 作 者 本 文 原 创 作 者 s i 1 e n c e ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理