搜索

[16275] 2021-01-03_Emotet银行木马分析报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-03_Emotet银行木马分析报告 E m o t e t 银 行 木 马 分 析 报 告 K r i s t o n   F r e e B u f   2 0 2 1 - 0 1 - 0 3 银 行 木 马 E m o t e t 于 2 0 1 4 年 首 次 被 发 现 ， 至 今 已 有 6 年 多 ， 在 此 期 间 它 不 断 升 级 ， 转 变 目 标 方 向 ， 研 发 加 载 新 模 块 ， 它 仍 然 是 网 络 安 全 最 严 重 的 威 胁 之 一 。 E m o t e t 会 通 过 垃 圾 邮 件 进 行 传 播 ， 并 在 本 地 网 络 下 载 其 他 恶 意 软 件 。 本 文 会 总 结 所 有 关 于 E m o t e t 的 信 息 。 2 0 1 4 年 年 E m o t e t 于 2 0 1 4 年 6 月 底 由 T r e n d M i c r o 首 次 发 现 ， 它 利 用 浏 览 器 劫 持 用 户 银 行 凭 证 ， 主 要 目 标 是 德 国 和 奥 地 利 银 行 客 户 ， 主 要 传 播 媒 介 是 带 有 恶 意 附 件 或 链 接 的 银 行 电 子 邮 件 。 2 0 1 4 年 秋 季 发 现 了 一 个 E m o t e t 组 件 修 改 如 下 ： H T T P （ S ） 流 量 模 块 O u t l o o k 收 集 电 子 邮 件 地 址 模 块 M a i l   P a s s V i e w （ 密 码 恢 复 工 具 ） 窃 取 帐 户 模 块 垃 圾 邮 件 模 块 D D o S 攻 击 模 块
此 外 ， 恶 意 软 件 开 始 采 用 技 术 ， 利 用 自 动 转 账 系 统 （ A T S ） 自 动 从 受 害 者 银 行 账 户 中 窃 取 资 金 。 1 2 月 ， C & C 服 务 器 停 止 响 应 ， 木 马 活 动 明 显 减 少 。 2 0 1 5 年 年 在 2 0 1 5 年 初 发 现 新 的 E m o t e t 修 改 版 本 ， 变 化 包 括 ： 新 的 内 置 R S A 公 钥 ， 字 符 串 加 密 ， A T S 脚 本 ， 其 目 标 包 括 瑞 士 的 银 行 客 户 。 6 月 ， C & C 服 务 器 无 响 应 。 从 配 置 文 件 来 看 ， 该 木 马 目 标 是 奥 地 利 、 德 国 和 波 兰 的 银 行 客 户 。 2 0 1 6 年 年 首 次 发 现 新 版 本 E m o t e t   r e d u x ， 此 版 本 使 用 R I G - E 和 R I G - V 漏 洞 工 具 包 感 染 目 标 。 C & C 通 信 协 议 也 发 生 了 更 改 ： 对 于 小 于 4 K B 的 数 据 量 ， 使 用 G E T 请 求 ， 数 据 在 H T T P 头 的 C o o k i e 字 段 中 传 输 。 如 果 数 据 量 较 大 ， 则 使 用 P O S T 请 求 。 R C / 4 加 密 算 法 已 经 被 A E S 取 代 。 C & C 服 务 器 返 回 带 有 4 0 4 n o t f o u n d 错 误 的 报 头 ， 并 在 回 复 正 文 中 传 输 加 密 的 有 效 负 载 。 2 0 1 7 年 年 4 月 初 ， 波 兰 出 现 大 量 针 对 用 户 的 垃 圾 邮 件 ， 主 要 以 物 流 公 司 名 义 发 送 电 子 邮 件 ， 要 求 收 件 人 下 载 并 打 开 J a v a S c r i p t 格 式 的 文 件 。 攻 击 者 并 没 有 尝 试 将 可 执 行 J a v a S c r i p t 隐 藏 为 P D F 格 式 。 许 多 用 户 根 本 不 知 道 J a v a S c r i p t 不 是 文 档 或 报 表 格 式 。 J S 文 件 名 ： d h l n u m e r z l e c e n i a 4 7 8 7 7 6 9 5 8 9 _ _ k w i 1 2 2 0 1 7 . j s ( M D 5 : 7 3 6 0 d 5 2 b 6 7 d 9 f b b 4 1 4 5 8 b 3 b d 2 1 c 7 f 4 d e ) i n v o i c e 9 2 4 a p r 2 4 2 0 1 7 l a n g g b _ _ _ g b 9 2 4 . j s ( M D 5 : e 9 1 c 6 6 5 3 c a 4 3 4 c 5 5 d 6 e b f 3 1 3 a 2 0 f 1 2 b 1 ) t e l e k o m _ 2 0 1 7 _ 0 4 r e c h n u n g _ 6 0 0 3 0 0 3 9 7 9 4 . j s ( M D 5 : b c e c f 0 3 6 e 3 1 8 d 7 d 8 4 4 4 4 8 e 4 3 5 9 9 2 8 b 5 6 ) D o c u m e n t _ 1 1 8 6 1 0 9 7 _ N I _ N S O _ _ _ 1 1 8 6 1 0 9 7 . p d f ( M D 5 :   2 7 3 5 A 0 0 6 F 8 1 6 F 4 5 8 2 D A C A A 4 0 9 0 5 3 8 F 4 0 )
D o c u m e n t _ 4 3 5 7 1 9 6 3 _ N I _ N S O _ _ _ 4 3 5 7 1 9 6 3 . p d f ( M D 5 :   4 2 d 6 d 0 7 c 7 5 7 c f 4 2 c 0 b 1 8 0 8 3 1 e f 5 9 8 9 c b ) J a v a S c r i p t 是 一 个 木 马 下 载 程 序 ， 下 载 并 运 行 E m o t e t ， 成 功 感 染 系 统 后 向 用 户 显 示 错 误 窗 口 。 5 月 ， E m o t e t 传 播 方 案 略 有 改 变 。 附 件 中 包 含 O f f i c e 文 档 （ 或 指 向 它 的 链 接 ） ， 其 中 图 像 伪 装 成 m s w o r d 消 息 ， 表 示 文 档 版 本 已 过 时 。 若 打 开 文 档 ， 系 统 会 提 示 启 用 宏 。 a b - 5 8 8 2 9 2 7 8 . d o k u m e n t . d o c   ( M D 5 :   2 1 5 4 2 1 3 3 A 5 8 6 7 8 2 E 7 C 2 F A 4 2 8 6 D 9 8 F D 7 3 ) 6 月 开 始 ， 通 过 工 具 （ n e t w o r k s p r e a d e r ） 从 c & C 服 务 器 传 播 ， 该 工 具 后 来 成 为 恶 意 软 件 模 块 之 一 。 b y p a s s . e x e   ( M D 5 :   3 4 1 c e 9 a a f 7 7 0 3 0 d b 9 a 1 a 5 c c 8 d 0 3 8 2 e e 1 ) s e r v i c e . e x e   ( M D 5 :   f f b 1 f 5 c 3 4 5 5 b 4 7 1 e 8 7 0 3 2 8 f d 3 9 9 a e 6 b 8 ) b y p a s s . e x e : 通 过 内 置 字 典 搜 索 网 络 资 源 复 制 s e r v i c e . e x e 到 合 适 的 资 源 在 远 程 系 统 上 创 建 自 动 运 行 s e r v i c e . e x e
程 序 逆 向 ： 内 置 字 典 ： 就 功 能 而 言 ， s e r v i c e . e x e 只 将 计 算 机 的 名 称 发 送 到 服 务 器 。
该 恶 意 软 件 是 一 个 测 试 版 本 ， 就 在 第 二 天 ， 检 测 到 更 新 版 本 。 七 月 ， E m o t e t 加 载 模 块 更 新 。 E m o t e t 在 H T T P 报 头 的 C o o k i e 字 段 中 删 除 了 带 有 数 据 传 输 的 G E T 请 求 ， 所 有 C & C 通 信 均 使 用 P O S T （ M D 5 : 6 4 3 e 1 f 4 c 5 c b a e e b c 0 0 3 f a e e 5 6 1 5 2 f 9 c b ） 。 八 月 ， N e t w o r k   S p r e a d e r 作 为 D L L 包 含 在 E m o t e t 中 （ M D 5 : 9 c 5 c 9 c 4 f 0 1 9 c 3 3 0 a a d c e f b b 7 8 1 c a a c 4 1 ） ， 新 模 块 的 编 译 日 期 是 2 0 1 7 年 7 月 2 4 日 。 2 0 1 8 年 年 1 月 ， E m o t e t 开 始 传 播 银 行 木 马 P a n d a （ Z e u s   P a n d a ， 于 2 0 1 6 年 首 次 发 现 ） 。 4 月 初 ， E m o t e t 更 新 了 一 个 无 线 网 络 模 块 （ M D 5 : 7 5 d 6 5 c e a 0 a 3 3 d 1 1 a 2 a 7 4 c 7 0 3 d b d 2 a d 9 9 ） ， 该 模 块 试 图 使 用 字 典 攻 击 访 问 W i - F i 。 攻 击 者 很 快 更 新 了 这 个 模 块 （ M D 5 : d 7 c 5 b f 2 4 9 0 4 f c 7 3 b 0 4 8 1 f 6 c 7 c d e 7 6 e 2 a ） ， 其 中 包 含 一 个 新 的 s e r v i c e . e x e ， 内 置 E m o t e t （ M D 5 : 2 6 d 2 1 6 1 2 b 6 7 6 d 6 6 b 9 3 c 5 1 c 6 1 1 f a 4 6 7 7 3 ） 。 4 月 1 4 日 ， E m o t e t 再 次 开 始 在 H T T P 头 的 C o o k i e 字 段 中 使 用 带 有 数 据 传 输 的 G E T 请 求 ， 用 于 小 于 1 k b 的 数 据 传 输 ， 使 用 P O S T 请 求 处 理 大 数 据 。 填 充 C o o k i e 字 段 的 模 板 也 不 同 ， 以 前 的 形 式 是 C o o k i e :   % X = , ， 现 在 是 C o o k i e :   % u   = 。 数 字 和 等 号 之 间 新 增 加 的 空 格 有 助 于 识 别 E m o t e t 流 量 。
4 月 3 0 日 ， C & C 服 务 器 暂 停 活 动 ， 5 月 1 6 日 恢 复 ， 之 后 G E T 请 求 消 失 。 六 月 ， T r i c k s t e r （ 或 T r i c k b o t ） 开 始 使 用 E m o t e t 来 传 播 自 己 。 七 月 ， 获 得 了 基 于 l i b m i n i u p n c 的 U P n P 模 块 （ M D 5 : 0 f 1 d 4 d d 0 6 6 c 0 2 7 7 f 8 2 f 7 4 1 4 5 a 7 d 2 c 4 8 e ） 。 该 模 块 在 路 由 器 上 启 用 端 口 转 发 ， 使 攻 击 者 不 仅 可 以 访 问 位 于 N A T 后 面 的 本 地 网 络 计 算 机 ， 而 且 可 以 将 受 感 染 的 计 算 机 变 成 C & C 代 理 。 八 月 ， 出 现 了 新 的 R y u k 勒 索 软 件 感 染 ， 感 染 链 始 于 E m o t e t ， 它 下 载 了 T r i c k s t e r ， 然 后 安 装 R y u k 。 月 底 ， 网 络 扩 展 器 模 块 中 的 密 码 列 表 更 新 （ M D 5 : 3 f 8 2 c 2 a 7 3 3 6 9 8 f 5 0 1 8 5 0 f d f 4 f 7 c 0 0 e b 7 ） 。 1 0 月 3 0 日 ， O u t l o o k 模 块 （ M D 5 : 6 4 C 7 8 0 4 4 D 2 F 6 2 9 9 8 7 3 8 8 1 F 8 B 0 8 D 4 0 9 9 5 ） 更 新 ， 窃 取 的 数 据 量 被 限 制 在 1 6 K B （ 较 大 的 消 息 会 被 截 断 ） 。
2 0 1 9 年 年 E m o t e t 再 次 修 改 了 H T T P 协 议 部 分 ， 切 换 到 P O S T 请 求 并 使 用 字 典 创 建 路 径 （ M D 5 : b e a f 5 e 5 2 3 e 8 e 3 e 3 f b 9 d c 2 a 3 6 1 c d a 0 5 7 3 ） 。 P O S T   r e q u e s t   ： 3 月 ， 协 议 中 H T T P 删 除 内 容 类 型 ： m u l t i p a r t / f o r m   d a t a 。 数 据 本 身 使 用 B a s e 6 4 和 U r l E n c o d e 进 行 编 码 （ M D 5 : 9 8 f e 4 0 2 e f 2 b 8 a a 2 c a 2 9 c 4 e d 1 3 3 b b f e 9 0 ） 。 五 月 ， C & C 服 务 器 停 止 工 作 ， 8 月 2 1 日 恢 复 。 接 下 来 几 周 里 ， 服 务 器 只 分 发 更 新 和 模 块 ， 没 有 发 现 垃 圾 邮 件 活 动 。
十 一 月 ， 协 议 H T T P 部 分 发 生 改 动 。 E m o t e t 放 弃 使 用 字 典 来 创 建 路 径 ， 选 择 随 机 生 成 的 字 符 串 （ M D 5 : d d 3 3 b 9 e 4 f 9 2 8 9 7 4 c 7 2 5 3 9 c d 7 8 4 c e 9 d 2 0 ） 。 2 0 2 0 年 年 2 月 ， 协 议 中 H T T P 部 分 中 路 径 不 是 由 字 符 串 组 成 ， 而 是 由 几 个 随 机 生 成 的 单 词 组 成 。 二 进 制 部 分 也 进 行 了 更 新 。 加 密 保 持 不 变 ， 但 E m o t e t 放 弃 了 G o o g l e   P r o t o c o l   B u f f e r ， 转 而 使 用 自 己 的 格 式 。 压 缩 算 法 也 发 生 了 变 化 ， z l i b 被 l i b l z f 取 代 。 从 2 月 开 始 C & C 活 动 下 降 ， 直 到 2 0 2 0 年 7 月 才 恢 复 。 在 此 期 间 ， 垃 圾 邮 件 数 量 降 至 零 。 垃 圾 邮 件 活 动 恢 复 几 天 后 ， 网 上 有 报 道 称 ， 有 人 用 图 片 和 m e m e s 替 换 了 网 站 上 的 恶 意 E m o t e t 载 荷 ， 点 击 垃 圾 邮 件 中 的 链 接 会 打 开 一 张 普 通 图 片 ， 而 不 是 恶 意 文 档 。 I O C C & C 1 7 3 . 2 1 2 . 2 1 4 . 2 3 5 : 7 0 8 0 1 6 7 . 1 1 4 . 1 5 3 . 1 1 1 : 8 0 8 0 6 7 . 1 7 0 . 2 5 0 . 2 0 3 : 4 4 3 1 2 1 . 1 2 4 . 1 2 4 . 4 0 : 7 0 8 0 1 0 3 . 8 6 . 4 9 . 1 1 : 8 0 8 0 1 7 2 . 9 1 . 2 0 8 . 8 6 : 8 0 1 9 0 . 1 6 4 . 1 0 4 . 6 2 : 8 0 2 0 1 . 2 4 1 . 1 2 7 . 1 9 0 : 8 0 6 6 . 7 6 . 1 2 . 9 4 : 8 0 8 0
1 9 0 . 1 0 8 . 2 2 8 . 2 7 : 4 4 3 恶 意 恶 意 U R L h x x p : / / t u d o r i n v e s t [ . ] c o m / w p - a d m i n / r G t n U b 5 f / h x x p : / / d p - w o m e n b a s k e t [ . ] c o m / w p - a d m i n / L i / h x x p : / / s t y l e f i x [ . ] c o / g u i l l o t i n e - c r o s s / C T R N O Q / h x x p : / / a r d o s . c o m [ . ] b r / s i m u l a d o r / b P N x / h x x p s : / / s a n g b a d j a m i n [ . ] c o m / m o v e / r / h x x p s : / / a s i m g l o b a l t r a d e r s [ . ] c o m / b a b y - r o t t w e i l e r / d u D m 6 4 O / h x x p : / / s e l l . s m a r t c r o w d [ . ] a e / w p - a d m i n / C L s 6 Y F p / h x x p s : / / c h r o m a d i v e r s e [ . ] c o m / w p - c o n t e n t / O z O l f / h x x p : / / r o u t 6 6 m o t o r s [ . ] c o m / w p - a d m i n / g o i 7 o 8 / h x x p : / / c a s p e r t o u r . a s c - f l o r i d a [ . ] c o m / w p - c o n t e n t / g w Z b k / E m o t e t   M D 5 4 c 3 b 6 e 5 b 5 2 2 6 8 b b 4 6 3 e 8 e b c 6 0 2 5 9 3 d 9 e 0 c a 8 6 e 8 d a 5 5 f 4 1 7 6 b 3 a d 6 6 9 2 c 9 9 4 9 b a 4 8 d 4 6 3 9 a a 3 2 f 7 8 9 4 7 e c f b 2 2 8 e 1 7 8 8 c 0 2 b 2 8 d f 8 4 6 1 c e c 0 0 0 e 8 6 c 3 5 7 f d d 8 7 4 b 7 1 7 e 8 2 2 2 8 2 6 4 7 9 4 a 0 3 3 c 2 e 2 f c 7 1 5 4 0 c b 1 a 5 d 8 f c 8 7 1 8 7 a d 0 8 d 5 0 2 2 1 a b c 4 c 0 5 d 7 d 0 2 5 8 b 3 0 d d 0 b 8 8 c 0 d 1 0 c d 9 6 9 1 3 a 7 f b 9 c d 0 5 e d c 3 7 c 5 b 6 4 b 3 0 f 2 d d a e 5 8 b 2 6 2 f 2 f a c 8 7 c b 3 a f b 2 0 b 3 3 5 5 2 1 c 8 7 1 1 7 9 b 2 3 0 f 9 a 0 a 1 e b 9 2 8 1 6 6 4 7 c 1 d 6 1 c 7 5 e c 3 d c d 8 2 f e c c 0 8 b 2 原 文 链 接 原 文 链 接 s e c u r e l i s t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理