搜索

[15536] 2020-06-26_PoulightStealer：来自俄罗斯的窃密恶意软件

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2020-06-26_PoulightStealer：来自俄罗斯的窃密恶意软件 P o u l i g h t   S t e a l e r ： 来 自 俄 罗 斯 的 窃 密 恶 意 软 件 A v e n g e r   F r e e B u f   2 0 2 0 - 0 6 - 2 6 过 去 的 两 个 月 中 ， 研 究 人 员 发 现 了 窃 密 恶 意 软 件 过 去 的 两 个 月 中 ， 研 究 人 员 发 现 了 窃 密 恶 意 软 件   P o u l i g h t   S t e a l e r   的 技 术 进 化 与 传 播 扩 散 ， 经 过 研 究 发 现 其 可 能 源 于 俄 罗 斯 。 的 技 术 进 化 与 传 播 扩 散 ， 经 过 研 究 发 现 其 可 能 源 于 俄 罗 斯 。 介 绍 介 绍 如 今 ， 信 息 窃 取 是 常 见 的 威 胁 之 一 ， 例 如   A z o r u l t 、 A g e n t   T e s l a   和   H a w k e y e 。 信 息 窃 取 是 网 络 犯 罪 中 最 赚 钱 的 领 域 之 一 ， 从 失 陷 主 机 收 集 的 信 息 会 被 转 手 到 地 下 网 络 犯 罪 市 场 ， 或 者 用 于 凭 据 填 充 攻 击 。 P o u l i g h t   最 早 在   3   月 中 旬 被 M a l w a r e B y t e s 的 研 究 人 员 发 现 ， 并 且 相 关   I O C   指 标 已 经 在 安 全 社 区 之 间 共 享 。 恶 意 代 码 具 有 先 进 的 信 息 窃 取 能 力 ， 而 且 还 在 不 断 进 化 中 。 技 术 分 析 技 术 分 析 属 性 属 性 值 值 哈 希 8 e f 7 b 9 8 e 2 f c 1 2 9 f 5 9 d d 8 f 2 3 d 3 2 4 d f 1 f 9 2 2 7 7 f c c 1 6 d a 3 6 2 9 1 8 6 5 5 a 1 1 1 5 c 7 4 a b 9 5 威 胁 P o u l i g h t   S t e a l e r 简 要 描 述 P o u l i g h t   S t e a l e r s s d e e p 1 5 3 6 : G J v 5 M c K m d n r c 4 T X N G x 1 v Z D 8 q l C G r U Z 5 B x 5 M 9 D 7 w O H U N 4 Z K N J H : G J e u n o M X N Q C + E 5 B / M u O 0 O g t 像 其 他 恶 意 软 件 一 样 ， 也 提 供 给 网 络 犯 罪 分 子 可 订 阅 的 恶 意 软 件 构 建 工 具 。 结 果 为   . N E T   可 执 行 文 件 。 该 样 本 的 好 处 是 它 没 有 经 过 混 淆 ， 所 以 分 析 起 来 非 常 容 易 ， 可 以 很 好 地 描 述 恶 意 软 件 的 功 能 。 当 恶 意 软 件 启 动 后 ， 也 会 执 行 经 典 的 检 测 逃 避 技 术 ： 其 中 ， 通 过 执 行 S e l e c t   *   f r o m   W i n 3 2 _ C o m p u t e r S y s t e m 命 令 使 用   W M I   来 进 行 检 测 逃 避 。 这 个 方 法 对 虚 拟 化 相 关 的 检 测 进 行 了 一 些 检 查 ， 如 ： v m w a r e V I R T U A L V i r t u a l B o x s b i e d l l . d l l   ( S a n d b o x i e ) s n x h k . d l l   ( A v a s t   s a n d b o x ) S x I n . d l l   ( A v a s t   s a n d b o x ) S f 2 . d l l   ( A v a s t   S a n d b o x ) 这 些 检 查 也 在   A l - K h a s e r   或   P e f i s h   工 具 中 被 列 出 来 ， 这 些 工 具 旨 在 检 测 用 于 恶 意 软 件 分 析 的 环 境 、 测 试 沙 盒 的 健 壮 性 。 执 行 相 关 的 检 测 逃 避 技 术 后 ， 恶 意 软 件 就 开 始 进 行 感 染 ， 从 而 启 动 一 个 被 称 为 S t a r t e r 的 新 威 胁 。
S t a r t e r 类 包 含 用 于 加 载 恶 意 软 件 模 块 的 代 码 。 在 此 之 前 ， 有 一 些 目 录 和 文 件 用 于 存 储 失 陷 主 机 的 相 关 信 息 。 该 操 作 由 第 一 条 指 令 g l o b a l : : B u f f e r . S t a r t ( ) 执 行 。 方 法 也 非 常 简 单 ， 通 过 以 下 方 式 在   W i n d o w s   特 殊 文 件 夹 （ A p p D a t a 、 L o c a l   A p p D a t a 、 P e r s o n a l 、 D e s k t o p ） 中 创 建 许 多 文 件 夹 ： 然 后 ， 恶 意 软 件 从 名 为 S t r i n g 0 的 资 源 中 提 取 配 置 信 息 与 其 他 参 数 。 数 据 是 经 过   b a s e 6 4   编 码 的 字 符 串 ， 然 后 通 过 以 下 方 法 进 行 解 码 ： 配 置 文 件 的 内 容 如 下 所 示 ： 恶 意 软 件 通 过 互 斥 量 进 行 判 断 ， 该 互 斥 量 在 参 数 列 表 中 也 可 以 看 到 。 文 件 在 % T E M P % 文 件 夹 中 ， 如 果 该 文 件 存 在 ， 恶 意 软 件 不 会 再 次 执 行 ， 肉 则 写 入 空 文 件 开 始 执 行 。 接 着 来 看 X S 类 的 恶 意 代 码 ， 如 下 所 示 ： 首 先 通 过 I n f o r m a t i o n . S t a r t ( ) 收 集 有 关 失 陷 主 机 的 硬 件 和 软 件 信 息 ： < s e t t i n g s > P H B y b 2 c u c G F y Y W 1 z P l l X U n R h V z Q 9 f E 1 R P T 1 8 T U E 9 P T w v c H J v Z y 5 w Y X J h b X M + P H R p d G x l P l V H O T F i R 2 x u Y U h R P T w v d G l 0 b G U + P G N w Z G F 0 Y T 5 N S H d 3 Z k R F e V E w N T F T M n R M U 3 p G N F R F W n Z U V G x R T l R o N l Y x a H J S V X h O Z U R G N U 5 U R j Z O b G w 4 T V R K R F R u V k x h M H R M T V h o T V J t O U 5 P V k E x T 0 h w W F d H d E Z U R T E 0 T V h r M U 1 Y b z J X W H d 3 P C 9 j c G R h d G E + P H V s Z m l s Z T 5 h S F I w Y 0 R v d k w z S j F M W F Z w W k M w M U 1 E Y 3 p O V E k 1 T W p B d W N I Q X V j b l V 2 W l h o a G J Y Q n N a U z V s Z U d V P T w v d W x m a W x l P j x t d X R l e D 5 Q T D J k N H Z G R W d W Y l F k Z G R k a 2 1 z M F p o U W l J M E k 8 L 2 1 1 d G V 4 P g = = 解 码 对 应 的   b a s e 6 4   字 符 串 ， 就 可 以 获 得 构 建 的 参 数 列 表 。 如 下 所 示 ： < p r o g . p a r a m s > Y W R t a W 4 = | M Q = = | M A = = < / p r o g . p a r a m s > < t i t l e > U G 9 1 b G l n a H Q = < / t i t l e > < c p d a t a > M H w w f D E y Q 0 5 1 S 2 t L S z F 4 T E Z v T T l Q N T h 6 V 1 h r R U x N e D F 5 N T F 6 N l l 8 M T J D T n V L a 0 t L M X h M R * * N O V A 1 O H p X W G t F T E 1 4 M X k 1 M X o 2 W X w w   可 在     中 进 行 检 索 。 在 开 始 新 的 感 染 行 为 前 要 检 查 是 否 重 复 感 染 ， 执 行   p r o g . p a r a m s H a n d l e r P a r a m s . S t a r t ( ) A n t i R e p l a y S e n d e r . C h e c k R e p l a y S t a r t ( ) 即 可 完 成 该 任 务 ：
值 得 注 意 的 是 ， 恶 意 软 件 使 用 英 语 和 俄 语 来 记 录 收 集 的 信 息 。 随 后 ， 枚 举 并 记 录 所 有 活 动 进 程 列 表 ： 紧 接 着 执 行 第 三 个 参 数 的 检 查 。 如 果 等 于   1   则 执 行 c l i p p e r 模 块 ： 如 上 所 示 ， 使 用 存 储 在 c p d a t a 内 的   A E S   密 钥 解 密 c l b a s e 中 的 模 块 。 但 是 ， 在 特 定 配 置 中 没 有 c l b a s e 字 段 ， 就 没 有 需 要 安 装 的 模 块 。 最 后 一 条 命 令 是 C B o a r d . s t a r t ， 如 下 所 示 ： 窃 取 剪 贴 板 数 据 后 会 在 失 陷 主 机 中 收 集 所 有 敏 感 信 息 ： 该 恶 意 软 件 窃 取 大 量 数 据 ： 桌 面 快 照 敏 感 文 件 摄 像 头 快 照 F i l e z i l l a   凭 据 P i d g i n   凭 据 D i s c o r d   凭 据 T e l e g r a m
S k y p e S t e a m 加 密 货 币 C h r o m e D F i l e s 模 块 负 责 窃 取 敏 感 文 档 ， 搜 索 以 下 扩 展 名 之 一 的 文 件 ： 在 发 现 文 件 中 ， 恶 意 软 件 会 检 索 经 典 的 关 键 字 ， 这 些 关 键 字 显 示 文 件 的 内 容 中 存 在 一 些 有 用 的 凭 据 ： 随 后 ， 恶 意 软 件 会 将 所 有 收 集 到 的 信 息 发 送 到 另 一 个 名 为 c o n n e c t 的 资 源 提 供 的   C & C   服 务 器 ： 最 后 ， 从 下 载 并 执 行 其 他 模 块 。 检 索 参 数 的 方 式 与 前 述 相 同 ， 在 u l f i l e 中 标 记 了 要 下 载 的 组 件 。 结 论 结 论 P o u l i g h t   S t e a l e r   具 有 惊 人 的 潜 力 ， 不 排 除 它 的 异 军 突 起 将 来 可 能 会 代 替 其 他 恶 意 软 件 家 族 。 但 该 恶 意 软 件 缺 乏 代 码 混 淆 与 数 据 保 护 功 能 ， 可 能 仍 然 处 于 开 发 的 早 期 阶 段 ， 后 续 攻 击 者 可 能 会 增 强 这 些 功 能 。 I O C 8 e f 7 b 9 8 e 2 f c 1 2 9 f 5 9 d d 8 f 2 3 d 3 2 4 d f 1 f 9 2 2 7 7 f c c 1 6 d a 3 6 2 9 1 8 6 5 5 a 1 1 1 5 c 7 4 a b 9 5 h t t p / / f f f [ . g e a r h o s t p r e v i e w [ . c o m / A R M B o t h t t p [ : / / u 4 3 6 9 2 2 1 0 a [ . h a 0 0 3 . t . j u s t n s [ . r u / [ h t t p : / / p o u l l i g h t [ . r u / ] ( h t t p s : / / w w w . f r e e b u f . c o m / ) Y a r a i m p o r t   " p e " r u l e   P o u l i g h t _ S t e a l e r _ M a y _ 2 0 2 0   { m e t a :
Y o r o i * 本 文 作 者 ： 本 文 作 者 ： A v e n g e r   ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   P o u l i g h t   S t e a l e r "             h a s h   =   " 8 e f 7 b 9 8 e 2 f c 1 2 9 f 5 9 d d 8 f 2 3 d 3 2 4 d f 1 f 9 2 2 7 7 f c c 1 6 d a 3 6 2 9 1 8 6 5 5 a 1 1 1 5 c 7 4 a b 9 5 "             a u t h o r   =   " C y b a z e   -   Y o r o i     Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 5 - 0 7 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :         $ s 1   =   " h t t p / / f f f . g e a r h o s t p r e v i e w . c o m / A R M B o t "   a s c i i         $ s 2   =   " W B c G 9 1 b G x p Z 2 h 0 L h t t p : / / p o u l l i g h t . r u / k e y s . t x t "   a s c i i           $ s 3   =   " P o u l l i g h t . e x e "         $ s 4   =   " w a l l e t s w a l l e t . d a t "   w i d e   a s c i i         $ s 5   =   " = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = "   w i d e   a s c i i         $ s 6   =   { 2 F   7 B   0 0   3 0   0 0   7 D   0 0   3 C   0 0   6 3   0 0   6 C   0 0   6 2   0 0   6 1                 0 0   7 3   0 0   6 5   0 0   3 E   0 0   7 B   0 0   ? ?   0 0   7 D   0 0   3 C   0 0   2 F                 0 0   6 3   0 0   6 C   0 0   6 2   0 0   6 1   0 0   7 3   0 0   6 5   0 0   3 E   0 0 } $ s 7   =   " S e l e c t   *   f r o m   W i n 3 2 _ C o m p u t e r S y s t e m "   w i d e   a s c i i c o n d i t i o n :         u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   a l l   o f   t h e m } 参 考 来 源 参 考 来 源
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理