搜索

[14776] 2019-11-04_ATM恶意软件家族Dtrack

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-11-04_ATM恶意软件家族Dtrack A T M 恶 意 软 件 家 族 D t r a c k K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 0 4 2 0 1 8 年 夏 末 ， 发 现 了 一 款 针 对 印 度 银 行 的 年 夏 末 ， 发 现 了 一 款 针 对 印 度 银 行 的 a t m 恶 意 软 件 ， 进 一 步 的 分 析 表 明 ， 该 恶 意 软 件 被 设 计 用 于 植 入 目 标 恶 意 软 件 ， 进 一 步 的 分 析 表 明 ， 该 恶 意 软 件 被 设 计 用 于 植 入 目 标 的 自 动 柜 员 机 ， 可 以 读 取 和 存 储 插 入 机 器 的 卡 中 数 据 ， 在 之 后 又 发 现 了 的 自 动 柜 员 机 ， 可 以 读 取 和 存 储 插 入 机 器 的 卡 中 数 据 ， 在 之 后 又 发 现 了 1 8 0 多 个 恶 意 软 件 样 本 ， 现 称 之 为 多 个 恶 意 软 件 样 本 ， 现 称 之 为 D T r a c k 。 。 最 初 发 现 的 所 有 d t r a c k 样 本 都 是 已 经 弃 用 的 样 本 ， 真 实 的 有 效 载 荷 是 用 不 同 的 d r o p p e r 加 密 的 ， 解 密 了 有 效 载 荷 后 发 现 了 与 D a r k S e o u l 攻 击 活 动 相 似 之 处 ， 该 活 动 可 以 追 溯 到 2 0 1 3 年 ， 归 属 于 L a z a r u s 组 织 。 样 本 中 重 用 了 部 分 旧 代 码 来 攻 击 印 度 的 金 融 部 门 和 研 究 中 心 。 根 据 检 测 ， D T r a c k 的 最 后 一 次 活 动 是 在 2 0 1 9 年 9 月 初 。 技 术 细 节 技 术 细 节 下 载 器 将 p e 文 件 加 密 并 嵌 入 数 据 段 且 不 会 在 正 常 执 行 中 运 行 ， 解 密 是 可 执 行 开 始 于 s t a r t （ ） 和 w i n m a i n （ ） 函 数 之 间 的 p a t c h 。 恶 意 软 件 作 者 将 恶 意 代 码 嵌 入 到 一 个 无 害 的 可 执 行 二 进 制 文 件 中 。 在 某 些 情 况 下 ， 默 认 是 v i s u a l   s t u d i o   m f c 项 目 ， 但 也 可 以 是 任 何 其 他 程 序 。 解 密 数 据 包 含 ： 1 、 可 执 行 文 件 ； 2 、 s h e l l c o d e ； 3 、 预 定 义 进 程 列 表 在 解 密 数 据 之 后 ， 根 据 预 定 义 进 程 列 表 重 新 命 名 进 程 名 , 所 有 名 称 都 来 自 % s y s t e m 3 2 % 文 件 夹 ， 如 下 面 的 解 密 文 件 列 表 所 示 。 f o n t v i e w . e x e d w w i n . e x e w e x t r a c t . e x e r u n o n c e . e x e g r p c o n v . e x e m s i e x e c . e x e r a s a u t o u . e x e r a s p h o n e . e x e e x t r a c 3 2 . e x e m o b s y n c . e x e v e r c l s i d . e x e c t f m o n . e x e c h a r m a p . e x e w r i t e . e x e s e t h c . e x e c o n t r o l . e x e p r e s e n t a t i o n h o s t . e x e n a p s t a t . e x e s y s t r a y . e x e m s t s c . e x e c l e a n m g r . e x e
下 载 器 下 载 器 下 载 器 中 包 含 各 种 可 执 行 文 件 ， 其 目 的 都 是 监 视 受 害 者 。 下 面 是 找 到 的 各 种 d t r a c k 中 可 执 行 文 件 功 能 列 表 ： 1 、 键 盘 记 录 ， 2 、 浏 览 器 历 史 记 录 ， 3 、 收 集 主 机 I P 地 址 、 网 络 连 接 的 信 息 ， 4 、 列 出 所 有 正 在 运 行 的 进 程 ， 5 、 列 出 所 有 可 用 磁 盘 卷 上 的 所 有 文 件 。 其 中 一 些 可 执 行 文 件 将 收 集 到 的 数 据 打 包 加 密 保 存 到 磁 盘 ， 而 另 一 些 则 直 接 将 数 据 发 送 到 C & C 服 务 器 。 除 了 上 述 可 执 行 文 件 外 ， 下 载 器 中 还 包 含 远 程 访 问 木 马 。 木 马 允 许 攻 击 者 在 主 机 上 执 行 各 种 操 作 ， 例 如 上 传 / 下 载 、 执 行 命 令 等 。 有 关 操 作 的 完 整 列 表 ， 请 参 阅 下 表 。 d t r a c k 和 和 a t m d t r a c k 恶 意 软 件 相 似 性 恶 意 软 件 相 似 性 a t m d t r a c k 是 d t r a c k 系 列 的 一 个 变 种 。 尽 管 它 们 有 相 似 之 处 ， 但 它 们 也 存 在 一 些 不 同 点 。 例 如 ， D t r a c k 的 有 效 载 荷 在 下 载 器 中 被 加 密 ， 但 A T M d T r a n d 样 本 根 本 没 有 加 密 ， 在 解 密 D t r a c k 有 效 载 荷 之 后 ， 可 以 看 出 开 发 人 员 是 同 一 组 人 ， 两 个 项 目 具 有 相 同 的 代 码 风 格 并 使 用 相 同 的 方 式 实 现 的 功 能 。 其 中 最 常 见 的 功 能 是 字 符 串 操 作 功 能 ： 在 参 数 字 符 串 的 开 头 是 否 存 在 C C S I 子 串 ， 将 其 截 断 后 返 回 子 串 ； 否 则 ， 它 使 用 第 一 个 字 节 作 为 X O R 参 数 ， 并 返 回 一 个 解 密 的 字 符 串 。
总 结 总 结 第 一 次 发 现 A T M D t r a c k 时 ， 我 们 认 为 只 是 另 一 个 A T M 恶 意 软 件 家 族 ， 但 是 通 过 代 码 及 功 能 分 析 ， 发 现 其 与 过 去 出 现 过 的 恶 意 软 件 家 族 的 关 联 。 可 以 确 定 是 L a z a r u s 组 织 武 器 库 中 的 的 另 一 个 家 族 。 我 们 能 够 找 到 的 大 量 D t r a c k 样 本 表 明 ， L a z a r u s 组 是 恶 意 软 件 开 发 中 最 活 跃 的 A P T 组 之 一 。 他 们 快 速 开 发 恶 意 软 件 并 扩 展 功 能 。 第 一 次 看 到 了 这 个 恶 意 软 件 家 族 的 早 期 样 本 是 2 0 1 3 年 ， 其 目 标 为 S e o u l 。 六 年 后 ， 在 印 度 再 次 发 现 他 们 攻 击 金 融 机 构 和 研 究 中 心 ， 可 见 该 组 织 一 直 在 使 用 同 种 工 具 来 进 行 经 济 攻 击 活 动 和 间 谍 攻 击 活 动 。 I O C s * 参 考 来 源 ： 参 考 来 源 ： s e c u r e l i s t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 8 f 3 6 0 2 2 7 e 7 e e 4 1 5 f f 5 0 9 c 2 e 4 4 3 3 7 0 e 5 6 3 a 3 b a d 3 6 6 9 1 6 a a 3 1 9 8 f d 1 f 7 6 f 3 c 2 9 f 2 4 F 8 4 d e 0 a 5 8 4 a e 7 e 0 2 f b 0 f f e 6 7 9 f 9 6 d b 8 d

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理