搜索

[13513] 2018-12-09_WebCobra：深入分析这款新型挖矿恶意软件

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2018-12-09_WebCobra：深入分析这款新型挖矿恶意软件 W e b C o b r a ： 深 入 分 析 这 款 新 型 挖 矿 恶 意 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 0 9 前 言 前 言 近 期 ， 近 期 ， M c A f e e   L a b 的 研 究 人 员 发 现 了 一 款 新 型 的 俄 罗 斯 恶 意 软 件 ， 这 款 恶 意 软 件 名 叫 的 研 究 人 员 发 现 了 一 款 新 型 的 俄 罗 斯 恶 意 软 件 ， 这 款 恶 意 软 件 名 叫 “ W e b C o b r a ” ， 它 可 以 利 ， 它 可 以 利 用 目 标 设 备 的 计 算 能 力 来 挖 加 密 货 币 。 用 目 标 设 备 的 计 算 能 力 来 挖 加 密 货 币 。 实 际 上 ， 恶 意 挖 矿 软 件 是 很 难 被 检 测 到 的 。 当 设 备 被 感 染 后 ， 恶 意 软 件 会 在 系 统 后 台 悄 悄 运 行 ， 唯 一 可 能 暴 露 痕 迹 的 就 是 设 备 性 能 的 下 降 。 由 于 恶 意 软 件 会 增 加 设 备 计 算 能 力 的 消 耗 ， 设 备 的 运 行 速 度 会 显 著 降 低 ， 随 之 而 来 的 除 了 用 户 使 用 过 程 中 的 反 感 ， 还 有 电 费 账 单 上 的 “ 天 文 数 字 ” ， 毕 竟 挖 一 个 比 特 币 需 要 消 耗 的 成 本 大 约 在 5 3 1 美 元 到 2 6 1 7 0 美 元 之 间 … 毫 无 疑 问 ， 加 密 货 币 价 值 的 增 长 正 在 吸 引 越 来 越 多 的 网 络 犯 罪 分 子 投 身 于 恶 意 挖 矿 的 行 列 中 。 下 图 显 示 的 是 门 罗 币 价 格 走 势 与 恶 意 挖 矿 软 件 发 展 趋 势 之 间 的 关 系 对 应 图 ： 在 此 之 前 ， M c A f e e   L a b 曾 对 加 密 货 币 文 件 注 入 工 具 C o i n M i n e r 进 行 了 分 析 ， 感 兴 趣 的 同 学 可 以 浏 览 【 分 析 报 告 】 。 W e b C o b r a 这 款 恶 意 软 件 在 感 染 了 目 标 设 备 之 后 ， 会 在 后 台 悄 悄 植 入 C r y p t o n i g h t   M i n e r 或 C l a y m o r e 的 Z c a s h   M i n e r ， 具 体 需 要 根 据 W e b C o b r a 扫 描 到 的 目 标 设 备 架 构 来 确 定 。 我 们 认 为 ， 这 款 恶 意 软 件 主 要 通 过 P U P 流 氓 安 装 器 来 实 现 传 播 ， 目 前 全 球 范 围 都 受 到 了 影 响 ， 受 感 染 用 户 最 多 的 地 区 分 别 是 巴 西 、 南 非 和 美 国 。
与 其 他 恶 意 挖 矿 软 件 不 同 的 是 ， W e b C o b r a 会 根 据 受 感 染 设 备 的 配 置 和 架 构 来 选 择 植 入 不 同 的 挖 矿 工 具 。 恶 意 行 为 分 析 恶 意 行 为 分 析 恶 意 软 件 的 D r o p p e r 是 一 个 W i n d o w s 安 装 程 序 ， 它 会 检 测 系 统 运 行 环 境 。 在 x 8 6 系 统 上 ， 它 会 向 正 在 运 行 的 进 程 中 注 入 C r y p t o n i g h t   M i n e r 代 码 ， 然 后 启 用 进 程 监 控 。 在 x 6 4 系 统 上 ， 它 会 检 测 G P U 配 置 ， 然 后 从 远 程 服 务 器 下 载 并 执 行 C l a y m o r e 的 Z c a s h   M i n n e r 。 启 动 之 后 ， 恶 意 软 件 会 使 用 下 列 命 令 下 载 并 解 压 一 个 受 密 码 保 护 的 C a b i n e t 压 缩 文 件 ： 这 个 C A B 文 件 包 含 以 下 两 个 文 件 ： 1 、   L O C ： 用 于 解 密 d a t a . b i n 的 D L L 文 件 ； 2 、   b i n ： 包 含 了 经 过 加 密 处 理 的 恶 意 P a y l o a d ； C A B 文 件 使 用 了 下 列 脚 本 来 执 行 E R D N T . L O C ：
E R D N T . L O C 会 解 密 d a t a . b i n ， 然 后 利 用 下 列 路 径 将 执 行 流 传 递 给 它 ： 程 序 会 在 检 测 了 当 前 运 行 环 境 之 后 启 动 对 应 的 M i n e r ， 整 个 过 程 如 下 图 所 示 ： 当 d a t a . b i n 被 解 密 并 执 行 之 后 ， 它 会 尝 试 执 行 一 些 反 调 试 、 反 模 拟 和 反 沙 箱 技 术 ， 并 检 测 当 前 系 统 上 运 行 的 其 他 安 全 产 品 ， 而 这 些 都 是 这 款 恶 意 软 件 保 护 自 己 不 被 检 测 到 的 一 些 基 本 手 段 。 [ P l a i n T e x t _ B y t e ] =   ( ( [ E n c r y p t e d D a t a _ B y t e ]   +   0 x 2 E )   ^   0 x 2 E )   +   0 x 2 E
大 多 数 安 全 产 品 都 会 通 过 挂 钩 A P I 函 数 来 监 控 恶 意 软 件 的 行 为 ， 为 了 避 免 被 检 测 到 ， W e b C o b r a 会 在 内 存 中 以 数 据 文 件 的 形 式 加 载 n t d l l . d l l 和 u s e r 3 2 . d l l ， 然 后 重 写 这 些 函 数 的 前 八 个 字 节 （ 解 除 A P I   h o o k ） 。 未 设 置 未 设 置 h o o k 的 的 n t d l l . d l l   A P I 未 设 置 未 设 置 h o o k 的 的 u s e r 3 2 . d l l   A P I 感 染 感 染 x 8 6 系 统 系 统 恶 意 软 件 会 向 s v c h o s t . e x e 注 入 恶 意 代 码 ， 并 利 用 无 限 循 环 来 检 测 所 有 打 开 的 窗 口 ， 然 后 使 用 下 面 列 表 中 的 字 符 串 来 匹 配 窗 口 的 标 题 栏 。 这 也 是 W e b C o b r a 采 用 的 另 一 种 检 测 机 制 ， 它 会 根 据 这 个 检 测 结 果 来 判 断 当 前 环 境 是 否 是 专 门 用 来 分 析 恶 意 软 件 的 隔 离 环 境 。 恶 意 软 件 会 根 据 打 开 窗 口 的 标 题 栏 来 判 断 运 行 环 境 ： 进 程 监 控 执 行 之 后 ， 它 会 使 用 M i n e r 的 配 置 文 件 创 建 一 个 s v c h o s t . e x e 的 实 例 ， 并 注 入 C r y p t o n i g n t   M i n e r 代 码 ： L d r L o a d D l l Z w W r i t e V i r t u a l M e m o r y Z w R e s u m e T h r e a d Z w Q u e r y I n f o r m a t i o n P r o c e s s Z w O p e n S e m a p h o r e Z w O p e n M u t a n t Z w O p e n E v e n t Z w M a p V i e w O f S e c t i o n Z w C r e a t e U s e r P r o c e s s Z w C r e a t e S e m a p h o r e Z w C r e a t e M u t a n t Z w C r e a t e E v e n t R t l Q u e r y E n v i r o n m e n t V a r i a b l e R t l D e c o m p r e s s B u f f e r S e t W i n d o w s H o o k E x W S e t W i n d o w s H o o k E x A a d w e m s i a v z f a r b a r g l a x d e l f i x r o g u e e x e a s w _ a v _ p o p u p _ w n d c l a s s s n x h k _ b o r d e r _ m y w n d A v a s t C e f W i n d o w A l e r t W i n d o w U n H a c k M e e s e t h a c k e r A n V i r R o g u e u V S m a l w a r e
最 后 ， 恶 意 软 件 会 让 C r y p t o n i g h t   M i n e r 在 后 台 静 默 运 行 ， 并 利 用 目 标 主 机 的 全 部 C P U 资 源 来 挖 矿 ： 感 染 感 染 x 6 4 系 统 系 统 恶 意 软 件 首 先 会 检 测 是 否 运 行 了 W i r e s h a r k ： 然 后 检 测 G P U 品 牌 和 型 号 ， 只 有 在 检 测 到 下 列 G P U 的 时 候 它 才 会 运 行 ： 如 果 检 测 成 功 ， 恶 意 软 件 会 创 建 下 面 隐 藏 文 件 夹 ， 然 后 从 远 程 服 务 器 下 载 并 执 行 Z c a s h   M i n e r ： R a d e o n N v i d i a A s u s C : U s e r s A p p D a t a L o c a l W I X T o o l s e t   1 1 . 2
最 后 ， 恶 意 软 件 会 在 % t e m p % – x x x x x . c M D 中 植 入 一 个 b a t c h 文 件 来 删 除 D r o p p e r （ [ W i n d o w s F o l d e r ] { D E 0 3 E C B A - 2 A 7 7 - 4 3 8 C - 8 2 4 3 - 0 A F 5 9 2 B D B B 2 0 } * . * ） ： M i n e r 的 配 置 文 件 如 下 ： 配 置 文 件 中 包 含 ： 矿 池 地 址 ： 5 . 1 4 9 . 2 5 4 . 1 7 0 用 户 名 ： 4 9 Y f y E 1 x W H G 1 v y w X 2 x T V 8 X Z z b z B 1 E 2 Q H E F 9 G t z P h S P R d K 5 T E k x X G R x V d A q 8 L w b A 2 P z 7 j N Q 9 g Y B x e F P H c q i i q a G J M 2 Q y W 6 4 C 密 码 ： s o f t - n e t
这 份 配 置 文 件 包 含 ： 总 结 总 结 毫 无 疑 问 ， 恶 意 挖 矿 软 件 还 会 不 断 进 化 ， 因 为 网 络 犯 罪 分 子 肯 定 不 会 放 过 这 种 相 对 来 说 比 较 轻 松 的 赚 钱 方 式 。 而 且 跟 勒 索 软 件 相 比 ， 恶 意 挖 矿 软 件 的 风 险 会 更 低 ， 并 且 不 需 要 目 标 用 户 直 接 性 地 “ 支 付 费 用 ” 。 只 要 隐 蔽 性 够 高 ， 只 要 不 被 发 现 ， 网 络 犯 罪 分 子 就 可 以 躺 着 把 钱 赚 了 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I P 地 址 地 址 域 名 域 名 哈 希 （ 哈 希 （ S H A - 2 5 6 ） ） * 参 考 来 源 ： 参 考 来 源 ： s e c u r i n g t o m o r r o w ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 矿 池 地 址 ： e u . z e c . s l u s h p o o l . c o m 用 户 名 ： p a v e l c o m . n l n 密 码 ： z z z 5 . 1 4 9 . 2 4 9 [ . ] 1 3 : 2 2 2 4 5 . 1 4 9 . 2 5 4 [ . ] 1 7 0 : 2 2 2 3 1 0 4 . 3 1 . 9 2 [ . ] 2 1 2 e m e r g e n c y . f e e . x m r i g [ . ] c o m m i n e r . f e e . x m r i g [ . ] c o m   s a a r n i o [ . ] r u e u . z e c . s l u s h p o o l [ . ] c o m 5 E 1 4 4 7 8 9 3 1 E 3 1 C F 8 0 4 E 0 8 A 0 9 E 8 D F F D 0 9 1 D B 9 A B D 6 8 4 9 2 6 7 9 2 D B E B E A 9 B 8 2 7 C 9 F 3 7 2 E D 8 4 4 8 A 8 3 3 D 5 B B E 7 2 E 6 6 7 A 4 C B 3 1 1 A 8 8 F 9 4 1 4 3 A A 7 7 C 5 5 F B D B D 3 6 E E 2 3 5 E 2 D 9 4 2 3 F 4 E D 5 C 0 3 7 6 6 9 0 5 F 8 2 0 6 A A 3 1 3 0 C 0 C D E D E C 2 4 B 3 6 A F 4 7 C 2 C E 2 1 2 0 3 6 D 6 F 9 0 4 5 6 9 3 5 0 1 B D F F 1 F 0 6 8 E B 6 1 9 8 0 3 E C D 6 5 C 4 A C B 2 C 7 4 2 7 1 8 B 0 E E 2 F 4 6 2 D F 7 9 5 2 0 8 E A 9 1 3 F 3 3 5 3 B D 4 0 0 3 E 6 9 7 8 B C F E F 4 4 F D A 3 C B 1 3 D 6 1 8 E C 8 9 B F 9 3 D E B B 7 5 C 0 4 4 0 C 3 A C 4 C 1 E D 2 4 7 2 7 4 2 0 6 A D 9 D D C 9 2 8 6 9 E 9 8 9 C 1 D F 8 E 9 9 1 B 1 B D 1 8 F B 4 7 B C E B 8 E C C 9 8 0 6 7 5 6 4 9 3 B A 3 A 1 A 1 7 D 6 6 1 5 B F E 5 A 8 A E 7 E 0 8 6 2 A 0 3 D 1 8 3 E 6 6 1 C 4 0 A 1 D 3 D 4 4 7 E D D A B F 1 6 4 F C 5 E 6 D 4 D 1 8 3 7 9 6 E 0 F 3 1 2 8 5 A E 7 0 5 F F 6 0 0 0 7 B F 4 8 A E F B C 7 A C 7 5 A 3 E A 5 0 7 C 2 E 7 6 B 0 1 B A 5 F 4 7 8 0 7 6 F A 5 D 1 B 3 A A 0 D B F 7 7 D 5 A A 9 8 5 E E A 5 2 D D D A 5 2 2 5 4 4 C A 0 1 6 9 D C A 4 A B 8 F B 5 1 4 1 E D 2 B D D 2 A 5 E C 1 6 C E
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理