搜索

[15060] 2020-02-26_KBOT研究报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-02-26_KBOT研究报告 K B O T 研 究 报 告 K r i s t o n   F r e e B u f   2 0 2 0 - 0 2 - 2 6 K B O T 简 介 简 介 K B O T 通 过 通 过 I n t e r n e t 或 本 地 网 络 或 受 感 染 的 外 部 媒 介 攻 击 用 户 计 算 机 。 受 感 染 的 文 件 启 动 后 在 系 统 中 写 入 启 动 或 本 地 网 络 或 受 感 染 的 外 部 媒 介 攻 击 用 户 计 算 机 。 受 感 染 的 文 件 启 动 后 在 系 统 中 写 入 启 动 程 序 和 任 务 调 度 程 序 ， 然 后 进 行 程 序 和 任 务 调 度 程 序 ， 然 后 进 行 w e b 注 入 窃 取 受 害 者 的 银 行 和 个 人 数 据 。 注 入 窃 取 受 害 者 的 银 行 和 个 人 数 据 。 K B O T 可 以 下 载 额 外 的 窃 取 模 块 ， 把 可 以 下 载 额 外 的 窃 取 模 块 ， 把 所 有 的 用 户 信 息 发 送 给 所 有 的 用 户 信 息 发 送 给 C & C 服 务 器 ， 包 括 密 码 服 务 器 ， 包 括 密 码 / 登 录 、 钱 包 数 据 、 文 件 列 表 和 已 安 装 的 应 用 程 序 等 。 恶 意 软 件 登 录 、 钱 包 数 据 、 文 件 列 表 和 已 安 装 的 应 用 程 序 等 。 恶 意 软 件 将 其 所 有 文 件 和 收 集 的 数 据 存 储 在 将 其 所 有 文 件 和 收 集 的 数 据 存 储 在 R C 6 加 密 的 虚 拟 文 件 系 统 中 ， 因 此 很 难 被 检 测 到 。 加 密 的 虚 拟 文 件 系 统 中 ， 因 此 很 难 被 检 测 到 。 感 染 方 法 感 染 方 法 K B O T 在 文 件 中 添 加 多 种 恶 意 代 码 ， 感 染 连 接 的 驱 动 器 （ H D D 分 区 、 外 部 媒 体 、 网 络 驱 动 器 ） 和 共 享 网 络 文 件 夹 中 的 所 有 E X E 文 件 。 恶 意 软 件 使 用 I I D   I w b e m O b j e c t S i n k 接 口 和 S E L E C T * F R O M   I n s t a n c e C r e a t i o n E v e n t 查 询 侦 听 本 地 和 网 络 逻 辑 驱 动 器 的 连 接 ， 并 重 写 I w b e m O b j e c t S i n k 接 口 的 指 示 功 能 ， 对 于 每 个 驱 动 器 执 行 目 录 递 归 扫 描 并 感 染 E X E 文 件 。 在 扫 描 目 录 和 感 染 可 执 行 E X E 之 前 ， 恶 意 软 件 使 用 A P I 函 数 n e t s e r v e r   e n u m 和 N e t S h a r e E n u m 检 索 共 享 网 络 资 源 的 路 径 ：
与 许 多 其 他 病 毒 一 样 ， K B O T   p a t c h 了 入 口 点 代 码 ， 可 对 代 码 段 开 头 的 代 码 的 进 行 切 换 ， 受 感 染 文 件 的 原 始 功 能 不 会 被 保 留 。 j m p 命 令 将 切 换 到 多 态 代 码 ： 病 毒 将 加 密 数 据 添 加 到 以 下 部 分 之 一 的 结 尾 ： . r s r c 、 . d a t a 、 . r d a t a 。 同 时 对 重 定 位 表 目 录 、 资 源 目 录 、 导 入 目 录 、 节 参 数 等 P E 文 件 参 数 进 行 相 应 修 改 。 加 密 的 数 据 包 含 恶 意 软 件 模 块 （ D L L 库 ） 主 体 ， 以 及 用 于 解 密 、 加 载 内 存 和 运 行 的 代 码 。 数 据 用 X O R 方 法 加 密 ， 库 用 R * * 加 密 ， 用 A p l i b 压 缩 。
多 态 代 码 的 末 尾 是 获 取 k e r n e l 3 2 . d l l 的 代 码 ： 然 后 检 索 V i r t u a l P r o t e c t 函 数 的 A P I 地 址 ， 并 使 用 该 地 址 设 置 写 入 和 执 行 位 于 . r s r c 、 . d a t a 和 . r d a t a 末 尾 的 加 密 数 据 。 解 密 数 据 并 切 换 到 相 关 代 码 ：
K B O T 功 能 功 能 注 入 注 入 为 了 隐 藏 系 统 恶 意 行 为 ， K B O T 尝 试 将 代 码 注 入 正 在 运 行 的 系 统 进 程 中 。 使 用 A P I 函 数 O p e n P r o c e s s   /   O p e n P r o c e s s T o k e n 和 G e t T o k e n I n f o r m a t i o n ， 它 检 索 已 加 载 到 其 地 址 空 间 进 程 的 S I D 。 如 果 该 进 程 的 S I D 与 W i n L o c a l S y s t e m S i d 匹 配 ， 则 K B O T 使 用 带 有 C R E A T E _ S U S P E N D E D 标 志 的 C r e a t e P r o c e s s   A P I 来 创 建 新 进 程 s v c h o s t . e x e ， 然 后 执 行 注 入 操 作 。 s v c h o s t . e x e 进 程 复 制 主 模 块 的 标 题 和 部 分 主 体 ， 然 后 从 导 入 目 录 中 导 入 ， 并 使 用 重 定 位 表 目 录 中 的 信 息 进 行 手 动 重 定 位 。 接 下 来 ， K B O T 使 用 入 口 点 的 地 址 调 用 C r e a t e R e m o t e T h r e a d   / R t l C r e a t e U s e r T h r e a d   A P I 。 如 果 该 进 程 的 S I D 与 W i n L o c a l S y s t e m S i d 不 匹 配 ， 则 该 恶 意 软 件 将 设 置 S e D e b u g P r i v i l e g e 调 试 特 权 ， 并 尝 试 在 S I D 与 W i n L o c a l S y s t e m S i d 匹 配 的 正 在 运 行 的 s e r v i c e s . e x e 、 s v c h o s t . e x e 、 e x p l o r e r . e x e 进 程 中 执 行 类 似 的 注 入 。 K B O T 还 将 i n j e c t s . i n i 文 件 中 指 定 的 D L L 注 入 到 同 一 I N I 文 件 中 列 出 的 进 程 中 。 配 置 文 件 （ 包 括 i n j e c t s . i n i ） 读 取 解 密 并 移 动 到 虚 拟 文 件 存 储 中 。 该 示 例 首 先 在 其 存 储 中 搜 索 所 需 文 件 的 当 前 版 本 ； 如 果 出 现 故 障 ， 它 将 从 原 始 版 本 读 取 文 件 数 据 ， 原 始 版 本 以 加 密 形 式 位 于 主 体 中 。 在 每 个 加 密 数 据 的 开 头 都 有 包 含 J F 签 名 。
J U P I T E R . 3 2 和 J U P I T E R . 6 4 执 行 w e b 注 入 的 d l l ， 通 过 向 H T T P 流 量 中 注 入 恶 意 代 码 来 窃 取 用 户 在 浏 览 器 中 输 入 的 个 人 数 据 。 在 系 统 和 浏 览 器 进 程 中 执 行 注 入 后 会 修 补 浏 览 器 （ C h r o m e 、 F i r e f o x 、 O p e r a 、 Y a n d e x . b r o w s e r ） 中 的 功 能 代 码 和 传 输 代 码 ：
配 置 文 件 中 的 注 入 列 表 和 恶 意 软 件 本 身 存 储 在 全 局 数 组 中 的 列 表 相 同 。 如 下 k b o t . i n i 的 所 示 ， 其 中 H o s t s 是 C & C 列 表 ， S e r v e r P u b 是 用 于 数 据 加 密 的 公 钥 ： D L L 劫 持 劫 持
为 了 在 系 统 启 动 时 在 合 法 操 作 ， 恶 意 软 件 通 过 感 染 在 指 定 的 系 统 库 来 执 行 D L L 劫 持 攻 击 ， 然 后 将 其 写 入 启 动 。 在 系 统 文 件 夹 C : W i n d o w s S y s t e m 3 2 中 ， 恶 意 软 件 搜 索 适 合 攻 击 的 可 执 行 E X E 文 件 ， 但 不 考 虑 以 下 文 件 ： 1 、 包 含 字 符 串 l e v e l = “ r e q u i r e A d m i n i s t r a t o r ” 和 > t r u e ， 需 要 管 理 员 权 限 才 能 运 行 的 可 执 行 文 件 。 2 、 在 导 入 表 库 中 包 含 以 A P I - M S - W I N - 和 E X T - M S - W I N - 开 头 的 名 称 ， 对 于 这 样 的 文 件 D L L 劫 持 是 不 可 能 实 现 的 。 3 、 其 名 称 在 以 下 列 表 中 ： “ l o g o f f . e x e ”   “ s h u t d o w n . e x e ”   “ s l u i . e x e ”   “ d x d i a g . e x e ” 在 找 到 满 足 所 有 条 件 的 可 执 行 文 件 后 ， K B O T 将 在 系 统 目 录 中 创 建 具 有 任 意 名 称 的 文 件 夹 ， 并 将 检 测 到 的 E X E 文 件 以 及 位 于 导 入 目 录 中 的 系 统 d l l 复 制 到 该 文 件 夹 中 。 恶 意 软 件 以 管 理 员 权 限 执 行 这 些 操 作 ， 使 用 E I F O M o n i k e r E l e v a t i o n : a d m i n i s t r a t o r 生 成 外 壳 代 码 ， 功 能 如 下 { 3 a d 0 5 5 7 5 - 8 8 5 7 - 4 8 5 0 - 9 2 7 7 - 1 1 b 8 5 b d b 8 e 0 9 } 。 外 壳 代 码 使 用 C r e a t e R e m o t e T h r e a d   A P I 函 数 注 入 e x p l o r e r . e x e 进 程 。 复 制 后 在 同 一 个 文 件 夹 中 创 建 一 个 任 意 命 名 的 文 件 作 为 加 密 的 文 件 存 储 ， 存 放 主 b o t 模 块 、 从 C & C 接 收 的 配 置 文 件 、 系 统 信 息 和 其 他 服 务 数 据 。 包 含 系 统 应 用 程 序 、 导 入 目 录 中 的 d l l 和 K B O T 服 务 数 据 存 储 的 目 录 如 下 所 示 （ 加 密 虚 拟 存 储 文 件 名 为 红 色 ） ： K B O T 会 感 染 复 制 的 系 统 库 ， D l l e n t y p o i n t 入 口 点 的 代 码 将 被 以 下 代 码 覆 盖 ： 感 染 可 执 行 文 件 时 会 向 代 码 部 分 添 加 多 态 代 码 ， 并 在 . r s r c 、 . d a t a 或 . r d a t a 的 末 尾 添 加 加 密 代 码 。 与 添 加 到 E X E 文 件 的 代 码 不 同 ， 此 代 码 不 包 含 b o t 的 加 密 主 模 块 ， 而 是 从 文 件 存 储 中 读 取 和 解 密 。 恶 意 代 码 会 进 一 步 从 加 密 存 储 中 读 取 主 b o t 模 块 ， 受 感 染 的 d l l 的 原 始 数 据 不 会 被 保 存 。 D L L 最 后 一 部 分 结 尾 处 的 加 密 代 码 ：
在 系 统 E X E 文 件 启 动 后 ， d l l 将 加 载 到 进 程 的 地 址 空 间 中 。 调 用 导 入 的 函 数 后 ， 将 执 行 恶 意 代 码 。 启 动 启 动 恶 意 软 件 在 系 统 启 动 时 运 行 ， 方 法 如 下 ： 1 、 它 将 自 己 写 入 到 S o f t w a r e   M i c r o s o f t   W i n d o w s   C u r r e n t V e r s i o n   R u n 。 2 、 使 用 W M I 工 具 创 建 一 个 任 务 ， 在 任 务 计 划 程 序 中 运 行 系 统 E X E 文 件 。 K B O T 审 查 T a s k   S c h e d u l e 中 的 当 前 任 务 ， 通 过 E X E 文 件 读 取 D L L 并 搜 索 感 染 的 签 名 ： 如 果 没 有 包 含 受 感 染 文 件 的 任 务 ， 它 以 系 统 帐 户 创 建 一 个 没 有 用 户 名 的 新 任 务 ：
任 务 参 数 ： 任 务 创 建 实 例 x m l 文 件 ：
远 程 管 理 远 程 管 理 K B O T 与 B C . i n i 文 件 中 列 出 的 服 务 器 建 立 反 向 连 接 ， 使 用 R D P 协 议 同 时 创 建 多 个 会 话 ， 恶 意 软 件 将 配 置 远 程 桌 面 服 务 器 设 置 ： 1 、 查 找 内 存 中 t e r m s e r v . d l l 库 的 进 程
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理