搜索

[15651] 2020-07-26_AgentTesla新感染链解析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-26_AgentTesla新感染链解析 A g e n t   T e s l a 新 感 染 链 解 析 A v e n g e r   F r e e B u f   2 0 2 0 - 0 7 - 2 6 A g e n t   T e s l a   最 近 一 次 的 攻 击 部 署 在   R T F   文 件 里 使 用 了 多 个   O L E   对 象 构 建 了 复 杂 的 感 染 链 ， 虽 然 不 是 新 技 术 手 段 ， 但 在 野 利 用 仍 然 十 分 有 效 。 基 本 介 绍 基 本 介 绍 自 从   2 0 1 4   年 开 始 ， A g e n t   T e s l a   就 开 始 在 网 上 进 行 出 售 了 。 A g e n t   T e s l a   在 很 多 暗 网 论 坛 中 宣 传 自 己 是 合 法 的 监 控 软 件 ， 不 是 用 于 恶 意 用 途 的 恶 意 软 件 。 但 它 却 提 供 了 广 泛 的 密 码 提 取 功 能 ， 许 多 攻 击 者 都 将 其 用 于 攻 击 行 动 中 。 D e e p   I n s t i n c t   近 期 发 现 了   A g e n t   T e s l a   新 的 感 染 链 ， 该 感 染 链 的 独 特 之 处 是 阶 段 很 多 且 复 杂 。 从 鱼 叉 邮 件 的   R T F   文 档 附 件 开 始 ， 到 失 陷 主 机 释 放   A g e n t   T e s l a   可 执 行 文 件 结 束 。 感 染 链 的 多 个 阶 段 中 在   R T F   文 档 中 使 用   O L E   对 象 ， 在 O L E   对 象 的   O O X M L   中 包 含 混 淆 的   V B A   代 码 ， V B A   代 码 执 行   P o w e r s h e l l   代 码 ， 最 终 释 放   A g e n t   T e s l a   程 序 。 近 期 发 现 数 十 个 类 似 的   R T F   文 档   D r o p p e r   处 于 活 动 状 态 ， A g e n t   T e s l a   可 能 利 用 该 方 式 发 起 了 一 波 攻 击 。 感 染 过 程 感 染 过 程 鱼 叉 邮 件 附 件 鱼 叉 邮 件 附 件 感 染 链 从   R T F   文 件 开 始 ， 该 文 件 作 为 鱼 叉 邮 件 的 附 件 进 行 发 送 。 受 害 者 执 行 后 会 向 用 户 连 续 显 示   5   个 启 用 宏 的 请 求 。 这 五 个 请 求 时 由   R T F   带 有 的   5   个 嵌 入 式   O L E   对 象 产 生 的 ， 每 个 对 象 都 包 含 一 个   O O X M L 。 每 个   O O X M L   内 部 都 含 有 一 个   V B A   宏 ， 当 用 户 启 用 宏 代 码 时 ， 其 中 一 个 宏 将 会 被 执 行 。 每 个   O O X M L   中 的   V B A   代 码 都 很 短 ， 而 且 带 有 很 多 空 格 和 换 行 符 来 阻 碍 研 究 人 员 进 行 分 析 。
为 了 阻 止 对 代 码 进 行 静 态 分 析 ， 代 码 使 用 的 变 量 包 含 在 每 个   O O X M L   中 表 格 的 特 定 单 元 格 内 。 其 中 一 个 主 要 变 量 是 较 长 的 混 淆 字 符 串 ， 在   O O X M L   的   x l / s h a r e d S t r i n g s . x m l   中 。 实 际 上 ， 诸 如   o l e t o o l s   和   o l e d u m p   之 类 的 静 态 分 析 工 具 无 助 于 提 供 有 关   V B A   代 码 的 任 何 详 细 信 息 。 此 外 ， 使 用 V i p e r M o n k e y   对   V B A   进 行 动 态 分 析 也 并 不 成 功 。 通 过 手 动 调 试 这   5   个   V B A   代 码 片 段 ， 可 以 发 现 每 段 代 码 都 负 责 创 建   P o w e r s h e l l   代 码 的 一 部 分 ， 合 起 来 构 成 感 染 的 下 一 个 阶 段 。 一 旦 五 个 部 分 都 成 功 运 行 ， 将 开 始 执 行 生 成 的   P o w e r s h e l l   代 码 。 P o w e r s h e l l   执 行 执 行 合 并 而 来 的   P o w e r s h e l l   代 码 是 高 度 混 淆 的 ： 调 试 函 数   a f 2 3 a   后 可 以 发 现 代 码 仍 然 是 混 淆 的 ， 但 是 功 能 逻 辑 已 经 很 清 晰 了 。 P o w e r s h e l l   代 码 的 主 要 目 的 是 尝 试 绕 过 A M S I   并 使 用   W e b C l i e n t ( ) . D o w n l o a d F i l e   下 载 文 件 。
通 过   A m s i S c a n B u f f e r   函 数 提 供 的 缓 冲 区 来 尝 试 进 行   A M S I   绕 过 （ 上 图 红 色 正 方 形 部 分 ） ， P o w e r s h e l l   中 的   a f 2 3 a   函 数 对 其 进 行 混 淆 处 理 。 过 去   A g e n t   T e l s a   也 已 经 使 用 过 这 种 方 法 。 下 载 文 件 的   U R L   地 址 被 混 淆 成 0 9 4 1 1 2 4 8 1 2 5 b 1 a 4 9 5 b 0 d 0 4 4 7 0 7 5 6 0 e 0 7 5 3 0 7 5 b 0 4 0 c 1 b 0 5 5 7 0 c 4 e 5 b 0 4 5 0 1 8 0 4 4 7 0 2 1 7 0 3 0 e 5 8 0 4 1 6 0 4 1 9 5 0 ， 去 混 淆 后 是 h x x p s : / / c l e r a n o f f a c e m [ . ] c o m / n b h y e r d / b o m b [ . ] e x e （ 上 图 蓝 色 部 分 ） 。 A g e n t   T e s l a   下 载 执 行 下 载 执 行 A g e n t   T e s l a   通 过   U R L   下 载 到   A p p D a t a R o a m i n g u 5 6 5 . e x e ， 随 后 可 执 行 文 件 开 始 执 行 ： 使 用   s c h t a s k s . e x e   创 建 计 划 任 务 ， 确 保   A g e n t T e s l a   可 执 行 使 用   r e g . e x e   通 过 注 册 表 禁 用 任 务 管 理 器 （ R E G   a d d H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m   / v   D i s a b l e T a s k M g r ） 使 用   n e t s h   w l a n   s h o w   搜 索   W I F I   密 码 窃 取 诸 如   p u t t y / W i n S C P 、 浏 览 器 、 F T P   与   邮 箱 的 凭 据 将 窃 取 的 凭 据 发 送 到   d i r . f b @ t o l i p g o l d e n p l a z a . c o m 使 用 过 的 技 术 使 用 过 的 技 术 有 趣 的 是 ， 早 在   2 0 1 8   年   3   月 也 发 现 了 一 个 非 常 相 似 的 感 染 链 ， 也 是 包 含   5   个   O L E   对 象 的   R T F   文 件 。 区 别 是 释 放 的 恶 意 软 件 是   L o k i b o t ， 尽 管 这 两 者 有 着 惊 人 的 相 似 性 ， 但 是 我 们 没 有 其 他 证 据 来 证 明 他 们 有 关 。 该 方 法 已 经 被 使 用 了 数 年 ， 现 在 仍 然 可 以 有 效 的 在 野 利 用 ， 最 近 发 现 了 数 十 个 利 用 该 方 式 进 行 传 播 的   R T F   文 件 。 结 论 结 论 本 文 提 到 的 感 染 链 虽 然 不 是 新 兴 技 术 ， 但 仍 然 在 野 被 广 泛 利 用 。 这 种 多 个 阶 段 的 攻 击 链 难 以 分 析 而 且 可 以 逃 避 检 测 。 每 个 阶 段 只 是 完 整 攻 击 的 一 小 部 分 ， 这 也 让 检 测 完 整 感 染 链 变 得 困 难 。 此 外 ， 攻 击 者 也 滥 用 了   W i n d o w s   自 带 工 具 。 参 考 链 接 参 考 链 接 D e e p I n s t i n c t
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理