搜索

[16095] 2020-11-16_Gacrux：基于C语言的可自定义PE加载恶意软件

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2020-11-16_Gacrux：基于C语言的可自定义PE加载恶意软件 G a c r u x ： 基 于 C 语 言 的 可 自 定 义 P E 加 载 恶 意 软 件 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 1 6 写 在 前 面 的 话 写 在 前 面 的 话 近 期 ， 我 对 这 款 名 为 G a c r u x 的 恶 意 软 件 样 本 进 行 了 分 析 。 考 虑 到 这 两 个 样 本 文 件 的 来 源 ， 我 无 法 直 接 跟 大 家 共 享 文 件 的 哈 希 或 直 接 公 开 样 本 文 件 ， 不 过 根 据 本 文 所 提 供 的 信 息 ， 大 家 可 以 轻 松 识 别 出 这 款 恶 意 软 件 。 这 款 恶 意 软 件 加 载 器 采 用 C 语 言 开 发 ， 并 且 使 用 了 V i s u a l   S t u d i o   2 0 1 7 进 行 编 译 。 这 款 恶 意 软 件 从 2 0 2 0 年 8 月 开 始 在 某 些 论 坛 上 出 售 ， 似 乎 受 到 了 S m o k e   L o a d e r 的 极 大 启 发 。 反 分 析 技 术 反 分 析 技 术 G a c r u x 应 用 了 很 多 反 调 试 和 反 虚 拟 机 技 术 。 其 中 ， 第 一 种 技 术 涉 及 到 了 下 列 代 码 跳 转 ， 这 将 导 致 I D A 无 法 对 代 码 指 令 进 行 正 确 解 析 。 这 里 ， 我 们 可 以 直 接 利 用 n o p 操 作 码 来 修 复 这 个 问 题 。 进 行 模 式 扫 描 并 修 复 问 题 之 后 ， 我 们 就 可 以 使 用 I D A 来 对 代 码 进 行 反 编 译 了 。
第 二 种 技 术 涉 及 到 伪 造 的 返 回 值 ， 并 破 坏 I D A 的 函 数 分 析 过 程 。 跟 之 前 的 一 样 ， 我 们 同 样 可 以 使 用 n o p 操 作 码 来 解 决 这 种 问 题 。 最 后 的 代 码 混 淆 涉 及 到 两 个 磁 盘 上 的 加 密 函 数 ， 解 密 操 作 是 在 调 用 函 数 之 前 完 成 的 ， 然 后 在 不 久 之 后 又 会 对 函 数 进 行 重 新 加 密 。 解 密 / 加 密 的 工 作 原 理 是 在 函 数 中 找 到 两 个 表 示 加 密 区 域 开 始 和 结 束 的 模 式 ， 然 后 用 传 递 给 函 数 的 键 来 对 代 码 进 行 异 或 操 作 。
代 码 会 检 查 目 标 磁 盘 上 的 可 用 空 间 和 R A M 大 小 ， 这 也 是 其 反 虚 拟 机 检 测 机 制 的 一 部 分 。 在 这 里 ， 我 们 可 以 设 置 断 点 来 修 改 返 回 值 ， 或 直 接 使 用 n o p 命 令 跳 过 检 测 。 字 符 串 加 密 字 符 串 加 密 字 符 串 存 储 在 一 个 函 数 中 ， 该 函 数 根 据 传 入 的 I D 对 字 符 串 进 行 解 密 。
点 击 【 这 里 】 即 可 获 取 外 部 模 块 的 字 符 串 列 表 。 整 体 执 行 流 整 体 执 行 流
反 调 试 和 反 反 调 试 和 反 V M 技 术 技 术 这 款 恶 意 软 件 的 代 码 中 还 添 加 了 一 些 反 调 试 技 术 ， 这 些 技 术 嵌 入 在 了 很 多 重 要 函 数 中 ， 并 且 会 在 检 测 到 调 试 器 或 虚 拟 机 的 时 候 来 让 进 程 崩 溃 。 第 一 个 技 术 位 于 m a l l o c 函 数 中 ， 它 会 检 查 P E B 中 的 B e i n g D e b u g g e d 成 员 ， 如 果 检 测 到 了 相 应 设 置 ， 那 么 函 数 将 返 回 请 求 的 缓 冲 区 的 大 小 ， 而 不 是 分 配 它 。 除 此 之 外 ， 它 还 会 检 查 黑 名 单 上 的 模 块 ， 如 果 存 在 ， 则 退 出 执 行 。
在 第 二 项 技 术 中 ， 如 果 目 标 系 统 的 R A M 或 磁 盘 空 间 不 足 ， 则 会 增 加 E x p l o r e r 资 源 浏 览 器 的 进 程 P I D ， 这 通 常 是 虚 拟 化 的 表 现 。 此 时 ， 代 码 将 会 N t O p e n P r o c e s s 崩 溃 并 阻 止 其 进 一 步 运 行 。 在 这 里 ， 注 入 的 初 始 化 S h e l l C o d e / 自 定 义 P E 加 载 器 还 会 检 查 P E B 的 B e i n g D e b u g g e d 和 N t G l o b a l F l a g 成 员 。 S y s c a l l 这 款 恶 意 软 件 的 S y s c a l l 模 块 几 乎 完 全 是 从 开 源 的 加 密 程 序 中 拷 贝 过 来 的 。 这 里 的 哈 希 算 法 被 修 改 为 了 d j b 2 ， 而 输 出 会 使 用 一 个 常 量 值 进 行 异 或 计 算 。
持 久 化 持 久 化 恶 意 软 件 的 持 久 化 是 通 过 一 个 W i n d o w s 进 程 实 现 的 ， 恶 意 代 码 会 在 e x p l o r e r . e x e 上 下 文 中 不 断 地 调 用 这 个 进 程 ， 这 个 进 程 会 检 测 安 装 文 件 ， 并 在 启 动 项 菜 单 中 创 建 . l n k 文 件 。 代 码 注 入 代 码 注 入 针 对 代 码 注 入 ， G a c r u x 在 3 2 位 环 境 中 使 用 N t C r e a t e S e c t i o n / N t M a p V i e w O f S e c t i o n 作 为 写 原 语 ， 在 6 4 位 环 境 中 使 用 N t A l l o c a t e V i r t u a l M e m o r y / N t W r i t e V i r t u a l M e m o r y ， 这 两 种 方 法 都 是 通 过 直 接 的 系 统 调 用 完 成 的 。 对 于 执 行 原 语 ， 它 利 用 的 是 S e t P r o p A ， 正 如 A d a m 在 其 文 章 “ P R O P a g a t e – 一 种 新 的 代 码 注 入 技 巧 ” 中 所 详 述 的 那 样 。 这 是 从 开 源 实 现 中 复 制 的 ， 函 数 指 针 的 设 置 方 式 就 证 明 了 这 一 点 。
这 里 的 代 码 注 入 技 术 主 要 用 来 调 用 一 个 小 型 的 自 定 义 P E 加 载 器 ， 请 大 家 继 续 往 下 看 。 自 定 义 自 定 义 P E 加 载 器 和 数 据 格 式 加 载 器 和 数 据 格 式 这 是 G a c r u x 最 有 意 思 的 功 能 ， 注 入 到 E x p l o r e r 中 的 代 码 并 非 一 个 普 通 的 P E 文 件 ， 而 是 一 个 带 有 自 定 义 P E   H e a d e r 和 自 定 义 加 载 器 的 P E 加 载 器 。 加 载 器 首 先 会 进 行 一 些 反 调 试 检 测 ： 接 下 来 ， 它 会 解 析 三 个 A P I ， 并 使 用 它 们 来 处 理 导 入 的 表 并 修 复 重 定 位 ： P E 加 载 器 使 用 的 是 自 定 义 的 P E 格 式 ， 根 据 K a i t a i 描 述 符 ， 我 们 可 以 轻 松 恢 复 出 原 始 的 P E 文 件 ：
网 络 通 信 网 络 通 信 这 款 恶 意 软 件 的 网 络 通 信 使 用 的 是 W i n I n e t ， 并 且 在 E x p l o r e r 上 下 文 场 景 中 实 现 ：
总 结 总 结 正 如 我 们 所 看 到 的 ， G a c r u x 实 际 上 也 没 有 非 常 多 的 特 别 之 处 。 它 借 鉴 了 大 量 的 公 共 代 码 ， 并 且 在 稍 加 修 改 之 后 便 投 入 使 用 了 。 最 重 要 的 是 ， G a c r u x 的 漏 洞 非 常 多 ！ 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理