搜索

[13613] 2019-01-04_利用PNG像素隐藏PE代码：分析PNGDropper新样本

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2019-01-04_利用PNG像素隐藏PE代码：分析PNGDropper新样本 利 用 P N G 像 素 隐 藏 P E 代 码 ： 分 析 P N G   D r o p p e r 新 样 本 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 0 4 前 言 前 言 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 介 绍 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 介 绍 T u r l a 组 织 研 发 和 使 用 的 组 织 研 发 和 使 用 的 P N G   D r o p p e r 恶 意 软 件 。 在 恶 意 软 件 。 在 2 0 1 7 年 年 8 月 份 ， 沉 寂 已 久 月 份 ， 沉 寂 已 久 的 的 P N G   D r o p p e r 重 返 人 们 的 视 野 ， 而 且 当 时 它 主 要 用 来 传 播 重 返 人 们 的 视 野 ， 而 且 当 时 它 主 要 用 来 传 播 S n a k e ， 但 近 期 研 究 人 员 又 检 测 到 了 携 带 新 型 ， 但 近 期 研 究 人 员 又 检 测 到 了 携 带 新 型 P a y l o a d 的 的 P N G   D r o p p e r 样 本 ， 样 本 ， N C C   G r o u p 的 研 究 人 员 也 将 这 个 样 本 命 名 为 了 的 研 究 人 员 也 将 这 个 样 本 命 名 为 了 R e g R u n n e r S v c 。 。 P N G   D r o p p e r C a r b o n   B l a c k 的 研 究 团 队 此 前 已 经 对 P N G   D r o p p e r 组 件 进 行 了 非 常 详 细 的 分 析 【 分 析 报 告 】 ， 但 我 们 还 是 简 单 回 顾 一 下 它 的 工 作 机 制 吧 ！ D r o p p e r 的 目 的 是 为 了 加 载 和 运 行 一 个 隐 藏 在 多 个 P N G 文 件 中 的 P E 文 件 。 上 图 显 示 的 是 D r o p p e r 的 资 源 数 据 ， 我 们 可 以 看 到 有 多 个 代 码 数 据 资 源 入 口 标 记 有 “ P N G ” 的 字 样 。 其 中 每 一 个 资 源 都 是 一 个 有 效 的 P N G 文 件 ， 不 过 打 开 之 后 你 看 到 的 只 是 部 分 彩 色 像 素 ： P N G 使 用 了 微 软 的 G D I + 库 进 行 加 载 ， 下 图 中 我 们 可 以 看 到 ， 代 码 会 调 用 L o c k B i t s 来 从 P N G 文 件 中 读 取 像 素 数 据 。 像 素 数 据 的 每 一 个 字 节 都 代 表 了 每 一 个 像 素 的 R G B 值 。 对 每 一 个 R G B 值 进 行 编 码 之 后 我 们 就 能 得 到 P E 文 件 的 字 节 数 据 了 。
每 一 个 P N G 资 源 都 会 被 枚 举 ， 像 素 数 据 也 都 会 被 提 取 出 来 ， 最 终 会 进 行 拼 接 ， 而 最 后 生 成 的 完 整 P E 文 件 会 存 储 在 内 存 中 。 接 下 来 ， D r o p p e r 需 要 手 动 加 载 P E 文 ， 然 后 执 行 P E 文 件 的 入 口 函 数 ： R e g R u n n e r S v c P N G   D r o p p e r 会 利 用 其 P N G 资 源 解 码 并 运 行 R e g R u n n e r S v c ， 而 R e g R u n n e r S v c 的 目 的 就 是 从 注 册 表 中 提 取 加 密 P a y l o a d ， 并 将 其 加 载 进 内 存 ， 然 后 运 行 。 下 图 显 示 的 是 R e g R u n n e r S v c 的 入 口 点 ， 这 里 我 们 可 以 看 到 ， 代 码 调 用 了 S t a r t S e r v i c e C t r l D i s p a t c h e r ， 目 标 服 务 名 称 为 W e r F a u l t S v c （ 还 负 责 实 现 恶 意 软 件 的 持 久 感 染 ） ， 很 明 显 攻 击 者 是 想 让 恶 意 服 务 伪 装 成 合 法 的 W i n d o w s 错 误 报 告 服 务 。 服 务 设 置 函 数 执 行 后 ， 就 需 要 找 出 注 册 表 中 的 目 标 数 据 了 。 一 般 来 说 ， 注 册 表 路 径 会 保 存 在 代 码 里 的 一 个 字 符 串 中 ， 但 是 P N G   D r o p p e r 却 不 是 ， 因 为 它 会 使 用 R e g E n u m K e y E x A 和 R e g E n u m V a l u e A 函 数 来 枚 举 注 册 表 键 - 值 。
注 册 表 中 的 数 据 包 含 加 密 P a y l o a d 以 及 解 密 所 需 的 数 据 。 虽 然 其 中 不 包 含 解 密 密 钥 ， 但 是 它 包 含 了 用 于 生 成 解 密 密 钥 所 需 的 信 息 ， 而 其 中 的 部 分 数 据 使 用 了 微 软 的 C N G 库 函 数 （ N C r y p t * ） 来 进 行 加 密 。 第 一 阶 段 的 D r o p p e r 将 生 成 解 密 密 钥 并 存 储 在 系 统 默 认 密 钥 存 储 器 中 ， 这 里 使 用 的 是 “ M i c r o s o f t S o f t w a r e   K e y   S t o r a g e   P r o v i d e r ” 。 如 果 第 一 阶 段 的 D r o p p e r 运 行 不 成 功 ， 那 么 密 钥 将 无 法 生 成 和 存 储 ， 因 此 解 密 函 数 将 会 退 出 。 下 面 给 出 的 是 解 密 数 据 的 二 进 制 数 据 结 构 ： H e a d e r 解 密 成 功 后 ， 我 们 就 可 以 进 行 第 二 阶 段 的 解 密 操 作 了 。 主 P a y l o a d 使 用 了 A E S 算 法 进 行 加 密 。 首 先 ， 代 码 会 将 一 段 注 册 表 数 据 传 递 给 B C r y p t G e n e r a t e S y m m e t r i c K e y 函 数 ， 此 时 A E S 解 密 密 钥 便 创 建 成 功 了 。 密 钥 生 成 之 后 ， 解 密 属 性 便 设 置 成 功 ， P a y l o a d 即 可 解 密 成 功 。 接 下 来 ， 代 码 会 对 解 密 后 的 P a y l o a d 进 行 检 测 ， 以 确 保 P E 文 件 的 有 效 性 。 如 果 检 测 通 过 ， 文 件 将 会 被 加 载 ， 入 口 点 将 会 被 调 用 。
总 结 总 结 在 这 篇 文 章 中 ， 我 们 对 T u r l a 组 织 所 使 用 的 新 型 P N G   D r o p p e r 进 行 了 分 析 。 该 组 织 目 前 也 在 配 合 R e g R u n n e r S v c 这 个 新 组 件 来 实 施 攻 击 ， R e g R u n n e r S v c 可 以 从 注 册 表 中 提 取 和 加 密 P E 文 件 ， 并 对 其 进 行 解 密 和 运 行 。 目 测 ， 该 组 织 是 从 无 文 件 型 恶 意 软 件 那 里 得 到 的 灵 感 ， 比 如 说 P o w e l i k s 和 K o v t e r ， 而 他 们 的 目 标 就 是 为 了 在 代 码 文 件 内 尽 可 能 地 不 留 下 攻 击 证 据 。 除 此 之 外 ， 我 们 还 开 发 出 了 一 款 专 门 从 P N G   D r o p p e r 中 提 取 P a y l o a d 的 工 具 ， 并 且 将 其 开 源 ， 感 兴 趣 的 同 学 可 以 下 载 学 习 ： 【 下 载 地 址 】 。 Y a r a 规 则 规 则 入 侵 威 胁 指 标 入 侵 威 胁 指 标 样 本 分 析 ： 服 务 ： 参 考 资 料 参 考 资 料 h t t p s : / / w w w . c a r b o n b l a c k . c o m / 2 0 1 7 / 0 8 / 1 8 / t h r e a t - a n a l y s i s - c a r b o n - b l a c k - t h r e a t - r e s e a r c h - d i s s e c t s - p n g - d r o p p e r / * 参 考 来 源 ： n c c g r o u p ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M r u l e   t u r l a _ p n g _ d r o p p e r   {         m e t a :                 a u t h o r   =   " B e n   H u m p h r e y "                 d e s c r i p t i o n   =   " D e t e c t s   t h e   P N G D r o p p e r   u s e d   b y   t h e   T u r l a   g r o u p "               s h a 2 5 6   =   " 6 e d 9 3 9 f 5 9 4 7 6 f d 3 1 d c 4 d 9 9 e 9 6 1 3 6 e 9 2 8 f b d 8 8 a e c 0 d 9 c 5 9 8 4 6 0 9 2 c 0 e 9 3 a 3 c 0 e 2 7 "           s t r i n g s :                 $ a p i 0   =   " G d i p l u s S t a r t u p "                 $ a p i 1   =   " G d i p A l l o c "                 $ a p i 2   = " G d i p C r e a t e B i t m a p F r o m S t r e a m I C M "                 $ a p i 3   =   " G d i p B i t m a p L o c k B i t s "                 $ a p i 4   =   " G d i p G e t I m a g e W i d t h "                 $ a p i 5   =   " G d i p G e t I m a g e H e i g h t "                 $ a p i 6   =   " G d i p l u s S h u t d o w n "                   $ c o d e 3 2   =   {                         8 B   4 6   3 C                               / /   m o v           e a x ,   [ e s i + 3 C h ]                         B 9   0 B   0 1   0 0   0 0                   / /   m o v           e c x ,   1 0 B h                         6 6   3 9   4 C   3 0   1 8                   / /   c m p           [ e a x + e s i + 1 8 h ] ,   c x                         8 B   4 4   3 0   2 8                         / /   m o v           e a x ,   [ e a x + e s i + 2 8 h ]                         6 A   0 0                                     / /   p u s h         0                         B 9   A F   B E   A D   D E                   / /   m o v           e c x ,   0 D E A D B E A F h                         5 1                                           / /   p u s h         e c x                         5 1                                           / /   p u s h         e c x                         0 3   C 6                                     / /   a d d           e a x ,   e s i                         5 6                                           / /   p u s h         e s i                         F F   D 0                                     / /   c a l l   e a x                 }                   $ c o d e 6 4   =   {                       4 8   6 3   4 3   3 C                         / /   m o v s x d r a x ,   d w o r d   p t r   [ r b x + 3 C h ]                         B 9   0 B   0 1   0 0   0 0                   / /   m o v   e c x ,   1 0 B h                         B A   A F   B E   A D   D E                   / /   m o v   e d x ,   0 D E A D B E A F h                         6 6   3 9   4 C   1 8   1 8                   / /   c m p   [ r a x + r b x + 1 8 h ] ,   c x                         8 B   4 4   1 8   2 8                         / /   m o v   e a x ,   [ r a x + r b x + 2 8 h ]                         4 5   3 3   C 9                               / /   x o r   r 9 d ,   r 9 d                         4 4   8 B   C 2                               / /   m o v   r 8 d ,   e d x                         4 8   8 B   C B                               / /   m o v   r c x ,   r b x                         4 8   0 3   C 3                               / /   a d d   r a x ,   r b x                         F F   D 0                                     / /   c a l l   r a x                 }           c o n d i t i o n :                 ( u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d u i n t 1 6 ( u i n t 3 2 ( 0 x 3 c ) )   = =   0 x 4 5 5 0 )   a n d                 a l l   o f   ( $ a p i * )   a n d                   1   o f   ( $ c o d e * ) } r u l e   t u r l a _ p n g _ r e g _ e n u m _ p a y l o a d   {             m e t a :                                 a u t h o r   =   " B e n H u m p h r e y "                                 d e s c r i p t i o n   =   " P a y l o a d t h a t   h a s   m o s t   r e c e n t l y   b e e n   d r o p p e d   b y   t h e T u r l a P N G   D r o p p e r "                               s h a s 2 5 6   = " f e a 2 7 e b 2 e 9 3 9 e 9 3 0 c 8 6 1 7 d c f 6 4 3 6 6 d 1 6 4 9 9 8 8 f 3 0 5 5 5 f 6 e e 9 c d 0 9 f e 5 4 e 4 b c 2 2 b 3 "               s t r i n g s :                     $ c r y p t 0 0   =   " M i c r o s o f t   S o f t w a r e K e y   S t o r a g e   P r o v i d e r "   w i d e                     $ c r y p t 0 1   = " C h a i n i n g M o d e C B C "   w i d e                     $ c r y p t 0 2   =   " A E S "   w i d e               c o n d i t i o n :                     ( u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d u i n t 1 6 ( u i n t 3 2 ( 0 x 3 c ) )   = =   0 x 4 5 5 0 )   a n d                     p e . i m p o r t s ( " a d v a p i 3 2 . d l l " , " S t a r t S e r v i c e C t r l D i s p a t c h e r A " )   a n d                       p e . i m p o r t s ( " a d v a p i 3 2 . d l l " , " R e g E n u m V a l u e A " )   a n d                       p e . i m p o r t s ( " a d v a p i 3 2 . d l l " , " R e g E n u m K e y E x A " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " N C r y p t O p e n S t o r a g e P r o v i d e r " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " N C r y p t E n u m K e y s " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " N C r y p t O p e n K e y " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " N C r y p t D e c r y p t " )   a n d                     p e . i m p o r t s ( " n c r y p t . d l l " , " B C r y p t G e n e r a t e S y m m e t r i c K e y " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " B C r y p t G e t P r o p e r t y " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " B C r y p t D e c r y p t " )   a n d                       p e . i m p o r t s ( " n c r y p t . d l l " , " B C r y p t E n c r y p t " )   a n d                       a l l   o f   t h e m } 1 、 6 e d 9 3 9 f 5 9 4 7 6 f d 3 1 d c 4 d 9 9 e 9 6 1 3 6 e 9 2 8 f b d 8 8 a e c 0 d 9 c 5 9 8 4 6 0 9 2 c 0 e 9 3 a 3 c 0 e 2 7 ( P N G   D r o p p e r ) 2 、 f e a 2 7 e b 2 e 9 3 9 e 9 3 0 c 8 6 1 7 d c f 6 4 3 6 6 d 1 6 4 9 9 8 8 f 3 0 5 5 5 f 6 e e 9 c d 0 9 f e 5 4 e 4 b c 2 2 b 3 ( 从 P N G   d r o p p e r 中 获 取 到 的 P a y l o a d ) 1 、 W e r F a u l t S v c
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理