搜索

[15895] 2020-09-26_透明部落APT组织的木马分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-26_透明部落APT组织的木马分析 透 明 部 落 A P T 组 织 的 木 马 分 析 m f c 1 2 0 u   F r e e B u f   2 0 2 0 - 0 9 - 2 6 情 报 链 接 推 特 情 报 链 接 推 特 推 特 情 报 大 佬 公 开 了 透 明 部 落 组 织 的 攻 击 载 体 ， 笔 者 尝 试 进 行 下 载 分 析 和 溯 源 关 联 。 该 样 本 主 要 采 用 了 d o c 文 档 的 宏 进 行 主 要 载 体 的 下 发 和 执 行 。 详 细 分 析 详 细 分 析 1 .       D o c 文 档 自 身 的 宏 代 码 文 档 自 身 的 宏 代 码 创 建 % A L L U S E R S P R O F I L E % D r m d s i a   文 件 夹 。 这 是 存 储 在 窗 体 中 的 数 据 。
根 据 系 统 版 本 ， 也 就 是 以 w i n 8 为 版 本 界 限 进 行 不 同 载 荷 的 分 发 。 获 取 数 据 后 ， 遍 历 数 据 都 转 换 为 b y t e 型 。 进 行 字 符 拼 接 添 加 ” x e ” ， 形 成 e x e 后 缀 . 进 行 二 进 制 字 节 写 入 , 头 部 刚 好 为 4 D 5 A 。 然 后 运 行 该 e x e 文 件 ， 并 带 入 参 数 ( 4 ) 。
进 行 主 页 文 字 的 更 改 ， 替 换 成 t e x t b o x 2 的 值 。 2 .       P E 文 件 文 件 M D 5 : 5 4 1 4 e 9 8 7 9 1 d 8 0 c e 3 c 0 e a d d a 6 e 0 0 8 0 3 e 0 文 件 为 木 马 的 解 压 载 体 ， d r o p p e r 。 运 行 窗 口 类 ： 进 行 窗 口 初 始 化 ， 进 行 窗 口 函 数 的 注 册 ， 和 参 数 的 初 始 化 。 进 入 到 F o r m 1 _ L o a d 函 数 中 。 首 先 进 行 文 件 解 压 。
将 资 源 段 的 数 据 写 入 到 ”   @ ” C : P r o g r a m D a t a I n t h r a l h o m g b r a r n ” ” 中 ， 然 后 进 行 移 动 更 名 为 C : P r o g r a m D a t a I n t h r a l r d d l h a s a . z i p ” 然 后 进 行 解 压 ， 执 行 最 终 的 深 红 木 马 。 第 二 个 主 要 函 数 通 过 写 入 第 二 个 资 源 数 据 到 ” C : U s e r s m a l w a r e D o c u m e n t s t h r o v d g r v a - 1 2   . j p e g ” 中 执 行 ， 不 过 这 个 样 本 中 该 资 源 数 据 为 0 ， 可 能 在 之 后 添 加 新 的 载 体 。 3 .       深 红 木 马 本 体 深 红 木 马 本 体 M D 5 7 7 e 3 a 2 0 c 5 3 3 3 8 c 3 1 2 5 9 a 5 f f 1 a 1 6 4 d e 0 b 创 建 时 间 2 0 2 0 - 0 7 - 1 8   1 9 : 4 2 : 5 3 U T C P D B g : n e w t i m e s h a f i m u s h o m g b r a r n h o m g b r a r n o b j D e b u g h o m g b r a r n . p d b
该 木 马 和 以 前 的 木 马 功 能 架 构 上 存 在 一 致 性 ， 根 据 奇 安 信 的 分 析 报 告 可 以 看 出 相 关 功 能 ， 混 淆 除 了 字 符 串 的 不 同 , 都 是 采 用 s p l i t 进 行 字 符 提 取 。 C o m m a n d f u n c t i o n x x x x x x x - p r o c l 枚 举 进 程 并 打 印 x x x x x x x - g e t a v s 枚 举 进 程 并 打 印 x x x x x x x - t h u m b 上 传 g i f 图 像 x x x x x x x - c l p i n g 刷 新 运 行 时 间 x x x x x x x - p u t s r t 复 制 木 马 , 设 置 自 启 动 x x x x x x x - f i l s z 获 取 文 件 属 性 x x x x x x x - r u p t h 返 回 文 件 路 径 x x x x x x x - d o w f 文 件 下 载 x x x x x x x - e n d p o 结 束 指 定 进 程 x x x x x x x - s c r s z 设 置 截 屏 参 数 x x x x x x x - c o w n a r 写 入 文 件 并 执 行 x x x x x x x - c s c r e e n 屏 幕 截 图 x x x x x x x - d i r s 获 取 磁 盘 目 录 信 息 x x x x x x x - s t o p s 停 止 截 屏 x x x x x x x - s c r e n 获 取 屏 幕 截 图 x x x x x x x - c n l s 参 数 初 始 化 x x x x x x x - u d l t 用 户 删 除 x x x x x x x - d e l t 文 件 删 除 x x x x x x x - a f i l e 读 取 文 件 信 息 x x x x x x x - l i s t f 文 件 搜 索 x x x x x x x - f i l e 上 传 文 件 x x x x x x x - i n f o 获 取 用 户 信 息 x x x x x x x - r u n f 文 件 执 行 x x x x x x x - f l e s 查 找 文 件 x x x x x x x - d o w r 文 件 下 载 x x x x x x x - f l d r 根 据 路 径 列 出 文 件 夹
C C 地 址 为 6 4 . 1 8 8 . 2 6 . 2 1 9 下 面 为 端 口 号 ： 4 8 2 0 6 5 2 1 1 1 4 2 2 1 5 8 2 3 1 7 8 2 4 I O C M D 5 7 1 c 0 d c 4 5 7 4 6 f 7 9 f d f 3 4 3 2 9 5 6 a 1 6 d c 4 7 0 7 7 e 3 a 2 0 c 5 3 3 3 8 c 3 1 2 5 9 a 5 f f 1 a 1 6 4 d e 0 b 5 4 1 4 e 9 8 7 9 1 d 8 0 c e 3 c 0 e a d d a 6 e 0 0 8 0 3 e 0 b 0 0 f 4 9 7 b 8 e 6 5 7 e 6 a c 3 4 c 8 4 8 1 c f 2 f e 1 6 c L P 6 4 . 1 8 8 . 2 6 . 2 1 9 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理