搜索

[14373] 2019-07-21_使用Cutter和Radare2对APT32恶意程序流程图进行反混淆处理

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-07-21_使用Cutter和Radare2对APT32恶意程序流程图进行反混淆处理 使 用 C u t t e r 和 R a d a r e 2 对 A P T 3 2 恶 意 程 序 流 程 图 进 行 反 混 淆 处 理 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 7 - 2 1 O c e a n   L o t u s   G r o u p ， 也 被 称 之 为 ， 也 被 称 之 为 A P T 3 2 ， 这 个 黑 客 组 织 此 前 主 要 的 攻 击 目 标 以 越 南 、 老 挝 和 菲 律 宾 等 东 亚 国 家 为 主 ， 虽 然 私 营 企 业 是 该 组 织 的 主 要 目 标 ， 但 外 国 政 府 、 政 治 活 动 家 和 ， 这 个 黑 客 组 织 此 前 主 要 的 攻 击 目 标 以 越 南 、 老 挝 和 菲 律 宾 等 东 亚 国 家 为 主 ， 虽 然 私 营 企 业 是 该 组 织 的 主 要 目 标 ， 但 外 国 政 府 、 政 治 活 动 家 和 新 闻 记 者 也 是 他 们 的 攻 击 目 标 之 一 。 新 闻 记 者 也 是 他 们 的 攻 击 目 标 之 一 。 A P T 3 2 的 攻 击 工 具 非 常 多 样 化 ， 从 M i m i k a t z 和 C o b a l t   S t r i k e 这 样 的 高 级 定 制 工 具 ， 到 S h e l l C o d e 以 及 后 门 等 等 ， 应 有 尽 有 。 而 且 他 们 所 使 用 的 很 多 代 码 都 经 过 了 高 度 模 糊 处 理 或 混 淆 处 理 ， 并 使 用 了 不 同 的 技 术 来 提 升 检 测 和 分 析 的 难 度 ， 导 致 研 究 人 员 更 加 难 以 对 它 们 进 行 逆 向 分 析 。 在 这 篇 文 章 中 ， 我 们 将 介 绍 该 组 织 所 使 用 的 其 中 一 种 代 码 混 淆 技 术 ， 而 这 种 技 术 也 被 A P T 3 2 广 泛 应 用 到 了 他 们 的 后 门 代 码 中 。 反 混 淆 处 理 的 过 程 中 需 要 使 用 到 C u t t e r 以 及 官 方 开 源 逆 向 工 程 框 架 - r a d a r e 2 ， 还 请 各 位 同 学 自 行 搜 索 下 载 。 下 载 和 安 装 下 载 和 安 装 C u t t e r C u t t e r 目 前 支 持 L i n u x 、 m a c O S 和 W i n d o w s 。 C u t t e r 下 载 地 址 ： 【 点 击 底 部 阅 读 原 文 获 取 】 C u t t e r 基 础 教 程 ： 【 点 击 底 部 阅 读 原 文 获 取 】 后 门 分 析 后 门 分 析 我 们 的 样 本 （ 4 8 6 b e 6 b 1 e c 7 3 d 9 8 f d d 3 9 9 9 a b e 2 f a 0 4 3 6 8 9 3 3 a 2 e c ） 是 多 级 感 染 链 中 的 一 部 分 ， 而 且 A P T 3 2 在 多 个 活 动 中 都 使 用 到 了 这 个 后 门 ， 例 如 恶 意 文 件 样 本 （ 1 1 5 f 3 c b 5 b d f b 2 f f e 5 1 6 8 e c b 3 6 b 9 a e d 5 4 ） 。 这 个 文 档 声 称 自 己 来 自 于 3 6 0 ， 但 是 其 中 包 含 了 一 个 恶 意 V B A 宏 ， 这 个 恶 意 宏 会 向 r u n d l l 3 2 . e x e 注 入 恶 意 S h e l l c o d e 。 S h e l l c o d e 中 包 含 了 解 密 代 码 ， 可 以 直 接 对 恶 意 代 码 进 行 解 密 并 将 相 应 的 D L L 加 载 进 内 存 ， 而 D L L 包 含 的 就 是 后 门 逻 辑 。 首 先 ， 后 门 会 解 密 一 个 配 置 文 件 ， 其 中 存 储 的 信 息 包 含 C 2 服 务 器 基 础 信 息 在 内 。 接 下 来 ， 代 码 会 尝 试 使 用 自 定 义 P E 加 载 器 向 内 存 中 加 载 恶 意 D L L 。 这 个 D L L 会 被 H T T P P r o v . d l l 调 用 ， 并 能 够 与 C 2 服 务 器 通 信 。 后 门 还 可 以 从 C 2 服 务 器 接 收 十 几 种 不 同 的 指 令 ， 包 括 S h e l l c o d e 执 行 、 新 进 程 创 建 以 及 文 件 和 目 录 修 改 等 操 作 。 该 组 织 所 使 用 的 很 多 混 淆 技 术 其 目 的 就 是 要 增 加 逆 向 分 析 的 难 度 ， 而 且 其 二 进 制 代 码 中 使 用 了 大 量 的 垃 圾 代 码 ， 这 些 垃 圾 代 码 会 增 加 样 本 的 体 积 和 复 杂 性 ， 以 分 散 研 究 人 员 的 注 意 力 。 而 且 ， 其 中 的 代 码 集 经 常 会 与 堆 栈 指 针 一 起 使 用 ， 而 普 通 的 反 编 译 工 具 无 法 对 这 种 情 况 进 行 有 效 处 理 。 混 淆 技 术 混 淆 技 术 A P T 3 2 在 进 行 代 码 混 淆 处 理 时 ， 大 量 使 用 了 控 制 流 混 淆 ， 并 且 向 函 数 流 中 注 入 了 大 量 垃 圾 代 码 块 。 这 些 垃 圾 代 码 块 不 会 实 现 任 何 功 能 ， 只 是 为 了 混 淆 视 听 而 已 。
大 家 可 以 从 上 图 中 看 到 ， 其 中 包 含 了 大 量 垃 圾 代 码 块 。 仔 细 分 析 后 我 们 会 发 现 ， 所 有 需 要 跳 转 到 这 些 代 码 段 的 条 件 判 断 结 果 都 为 F a l s e ， 而 且 都 是 以 条 件 跳 转 结 束 的 ， 跟 之 前 的 条 件 判 断 正 好 相 反 。 比 如 说 ， 垃 圾 代 码 段 之 前 的 条 件 判 断 为 j o   ， 那 么 垃 圾 代 码 很 有 可 能 以 j n o 结 束 。 如 果 之 前 的 代 码 段 以 j n e   结 束 ， 那 么 垃 圾 代 码 段 就 会 以 j e   结 束 。 这 样 一 来 ， 我 们 就 可 以 对 这 些 垃 圾 代 码 段 定 性 了 。 第 一 种 特 性 ： 出 现 两 个 连 续 的 垃 圾 代 码 块 ， 以 相 反 的 条 件 跳 转 到 相 同 的 目 标 地 址 并 结 束 。 第 二 种 特 性 ： 要 求 第 二 个 块 不 包 含 有 意 义 的 指 令 ， 如 字 符 串 引 用 或 代 码 调 用 等 等 。 当 满 足 这 两 个 特 征 时 ， 我 们 可 以 说 第 二 个 块 很 可 能 是 垃 圾 代 码 块 。 这 样 ， 我 们 就 可 以 将 垃 圾 块 从 图 表 中 删 除 了 ， 并 使 用 无 条 件 跳 转 来 修 补 源 代 码 。
编 写 核 心 类 编 写 核 心 类 首 先 ， 我 们 要 创 建 一 个 P y t h o n 类 作 为 我 们 的 核 心 类 ， 这 个 类 需 要 包 含 查 找 和 移 除 垃 圾 代 码 块 的 逻 辑 。 先 定 义 i n i t 函 数 ， 该 函 数 可 以 接 收 管 道 消 息 ， 可 以 是 来 自 r e d a r e 2 的 r 2 p i p e 对 象 （ i m p o r t r 2 p i p e ） ， 也 可 以 是 来 自 C u t t e r 的 c u t t e r 对 象 （ i m p o r t   c u t t e r ） 。 现 在 我 们 就 可 以 使 用 这 个 管 道 来 执 行 r a d a r e 2 命 令 了 。 这 个 管 道 对 象 包 含 两 种 执 行 r 2 命 令 的 方 式 。 第 一 种 为 p i p e . c m d ( ) ， 它 能 够 以 字 符 串 的 形 式 返 回 命 令 执 行 结 果 。 第 二 种 为 p i p e . c m d j ( j ) ， 它 你 能 够 根 据 r a d a r e 2 命 令 的 输 出 结 果 返 回 解 析 后 的 J S O N 对 象 。 接 下 来 就 是 从 当 前 函 数 中 获 取 所 有 的 代 码 块 ， 然 后 进 行 迭 代 。 这 里 可 以 使 用 a f b j 米 工 龄 来 获 取 函 数 中 所 有 代 码 块 的 J S O N 对 象 。 针 对 每 一 个 块 ， 根 据 之 前 的 判 断 条 件 进 行 分 析 ， 获 取 候 选 垃 圾 代 码 块 ： 接 下 来 ， 我 们 要 判 断 候 选 垃 圾 代 码 段 是 否 包 含 无 效 指 令 ： 最 后 ， 枚 举 出 所 有 对 立 的 跳 转 条 件 ： 将 上 述 所 有 代 码 整 合 到 c l e a n j u n k b l o c k s ( ) 函 数 中 ： 使 用 使 用 R a d a r e 2 使 用 使 用 C u t t e r 为 了 保 证 插 件 正 常 运 行 ， 我 们 还 需 要 增 加 一 个 菜 单 入 口 来 触 发 反 混 淆 功 能 ： 接 下 来 ， 我 们 就 可 以 看 到 图 形 化 的 分 析 结 果 了 ： c l a s s   G r a p h D e o b f u s c a t o r :       d e f   _ _ i n i t _ _ ( s e l f ,   p i p e ) :               " " " a n   i n i t i a l i z a t i o n f u n c t i o n   f o r   t h e   c l a s s                           A r g u m e n t s :                       p i p e   { r 2 p i p e }   - -   a n   i n s t a n c e   o f r 2 p i p e   o r   C u t t e r ' s   w r a p p e r               " " " d e f   c l e a n _ j u n k _ b l o c k s ( s e l f ) :               " " " S e a r c h   a   g i v e n f u n c t i o n   f o r   j u n k   b l o c k s ,   r e m o v e   t h e m   a n d   f i x   t h e   f l o w .               " " "               #   G e t   a l l   t h e   b a s i c   b l o c k s   o f   t h e f u n c t i o n               b l o c k s   =   s e l f . p i p e . c m d j ( " a f b j   @ $ F " )               i f   n o t   b l o c k s :                       p r i n t ( " [ X ]   N o   b l o c k s   f o u n d .   I s   i t   a f u n c t i o n ? " )                       r e t u r n               m o d i f i e d   =   F a l s e               #   I t e r a t e   o v e r   a l l   t h e   b a s i c   b l o c k s   o f t h e   f u n c t i o n               f o r   b l o c k   i n   b l o c k s :                       #   d o   s o m e t h i n g d e f   g e t _ f a i l _ b l o c k ( s e l f ,   b l o c k ) :               " " " R e t u r n   t h e   b l o c k   t o w h i c h   a   b l o c k   b r a n c h e s   i f   t h e   c o n d i t i o n   i s   f a i l s                           A r g u m e n t s :                       b l o c k   { b l o c k _ c o n t e x t }   - -   A   J S O N r e p r e s e n t a t i o n   o f   a   b l o c k                           R e t u r n s :                       b l o c k _ c o n t e x t   - -   T h e   b l o c k   t o   w h i c h t h e   b r a n c h   f a i l s .   I f   n o t   e x i s t s ,   r e t u r n s   N o n e               " " " d e f   c o n t a i n s _ m e a n i n g f u l _ i n s t r u c t i o n s   ( s e l f , b l o c k ) :               ' ' ' C h e c k   i f   a   b l o c k   c o n t a i n s   m e a n i n g f u l i n s t r u c t i o n s   ( r e f e r e n c e s ,   c a l l s ,   s t r i n g s , . . . )                           A r g u m e n t s :                       b l o c k   { b l o c k _ c o n t e x t }   - -   A   J S O N o b j e c t   w h i c h   r e p r e s e n t s   a   b l o c k                           R e t u r n s :                       b o o l   - -   T r u e   i f   t h e   b l o c k   c o n t a i n s m e a n i n g f u l   i n s t r u c t i o n s ,   F a l s e   o t h e r w i s e               ' ' ' j m p _ p a i r s   =   [               [ ' j n o ' ,   ' j o ' ] ,               [ ' j n p ' ,   ' j p ' ] ,               [ ' j b ' ,   ' j n b ' ] ,               [ ' j l ' ,   ' j n l ' ] ,               [ ' j e ' ,   ' j n e ' ] ,               [ ' j n s ' ,   ' j s ' ] ,               [ ' j n z ' ,   ' j z ' ] ,               [ ' j c ' ,   d e f   c l e a n _ j u n k _ b l o c k s ( s e l f ) :               " " " S e a r c h   a   g i v e n f u n c t i o n   f o r   j u n k   b l o c k s ,   r e m o v e   t h e m   a n d   f i x   t h e   f l o w .               " " "               #   G e t   a l l   t h e   b a s i c   b l o c k s   o f   t h e f u n c t i o n               b l o c k s   =   s e l f . p i p e . c m d j ( " a f b j   @ $ F " )               i f   n o t   b l o c k s :                       p r i n t ( " [ X ]   N o   b l o c k s   f o u n d .   I s i t   a   f u n c t i o n ? " )                       r e t u r n               m o d i f i e d   =   F a l s e               #   I t e r a t e   o v e r   a l l   t h e   b a s i c   b l o c k s   o f t h e   f u n c t i o n               f o r   b l o c k   i n   b l o c k s :                       f a i l _ b l o c k   = s e l f . g e t _ f a i l _ b l o c k ( b l o c k )                       i f   n o t   f a i l _ b l o c k   o r                         n o t   s e l f . i s _ s u c c e s s i v e _ f a i l ( b l o c k , f a i l _ b l o c k )   o r                       s e l f . c o n t a i n s _ m e a n i n g f u l _ i n s t r u c t i o n s ( f a i l _ b l o c k )   o r                         n o t s e l f . i s _ o p p o s i t e _ c o n d i t i o n a l ( s e l f . g e t _ l a s t _ m n e m _ o f _ b l o c k ( b l o c k ) , s e l f . g e t _ l a s t _ m n e m _ o f _ b l o c k ( f a i l _ b l o c k ) ) :                               c o n t i n u e i f _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :       g r a p h _ d e o b f u s c a t o r   =   G r a p h D e o b f u s c a t o r ( p i p e )       g r a p h _ d e o b f u s c a t o r . c l e a n _ g r a p h ( ) i f c u t t e r _ a v a i l a b l e :       #   T h i s   p a r t   w i l l   b e   e x e c u t e d   o n l y   i f   C u t t e r i s   a v a i l a b l e .       #   T h i s   w i l l   c r e a t e   t h e   c u t t e r   p l u g i n   a n d   U I o b j e c t s   f o r   t h e   p l u g i n       c l a s s G r a p h D e o b f u s c a t o r C u t t e r ( c u t t e r . i f c u t t e r _ a v a i l a b l e :       #   T h i s   p a r t   w i l l   b e   e x e c u t e d   o n l y   i f   C u t t e r i s   a v a i l a b l e .   T h i s   w i l l       #   c r e a t e   t h e   c u t t e r   p l u g i n   a n d   U I   o b j e c t s f o r   t h e   p l u g i n       c l a s s G r a p h D e o b f u s c a t o r C u t t e r ( c u t t e r . C u t t e r P l u g i n ) :               n a m e   =  
移 除 垃 圾 代 码 段 之 后 的 结 果 图 如 下 所 示 ： 对 比 图 如 下 ：
样 本 样 本 S H A 2 5 6 值 值 A P T 3 2 图 形 化 反 混 淆 工 具 图 形 化 反 混 淆 工 具 - 完 整 源 代 码 完 整 源 代 码 * 本 文 作 者 ： 本 文 作 者 ： c h e c k p o i n t ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 B e 6 d 5 9 7 3 4 5 2 2 4 8 c b 1 8 9 4 9 7 1 1 6 4 5 9 9 0 b 6 a 5 6 e 7 4 4 2 d c 3 0 c c 4 8 a 6 0 7 a 2 a f e 7 d 8 e c 6 6 8 d 7 4 d 5 4 4 3 9 6 b 5 7 e 6 f a a 4 f 8 f d f 9 6 a 1 a 5 e 3 0 b 1 9 6 d 5 6 c 1 5 f 7 c f 0 5 7 6 7 a 4 0 6 7 0 8 a 6 b 2 " " " A   p l u g i n   f o r   C u t t e r   a n d   R a d a r e 2   t o   d e o b f u s c a t e   A P T 3 2   f l o w   g r a p h s T h i s i s   a   p y t h o n   p l u g i n   f o r   C u t t e r   t h a t   i s   c o m p a t i b l e   a s   a n   r 2 p i p e   s c r i p t   f o r r a d a r e 2 a s   w e l l .   T h e   p l u g i n   w i l l   h e l p   r e v e r s e   e n g i n e e r s   t o   d e o b f u s c a t e   a n d   r e m o v e j u n k b l o c k s   f r o m   A P T 3 2   ( O c e a n   L o t u s )   s a m p l e s . "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理