搜索

[19211] 2018-01-12_病毒分析实战篇--远控病毒分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-12_病毒分析实战篇--远控病毒分析 病 毒 分 析 实 战 篇 - - 远 控 病 毒 分 析 i 春 秋   2 0 1 8 - 0 1 - 1 2 作 者 ： i c q 5 f 7 a 0 7 5 d i 春 秋 社 区 基 本 信 息 基 本 信 息 样 本 文 件 ： s t 2 2 a . e x e M D 5 ： c 2 9 3 c 2 8 4 2 7 8 9 a 7 a 3 9 1 c 9 c a 8 2 2 7 1 b 8 6 1 e S H A - 1 ： f 2 d 4 a f a 8 5 d d 0 d 9 a b 8 5 3 d e 7 9 6 6 3 6 6 8 e 0 3 b c 0 c f f f e V T 首 次 上 传 时 间 ： 2 0 1 7 - 1 2 - 3 0   0 1 : 5 6 : 3 2 详 细 分 析 详 细 分 析 1 .   程 序 的 流 程 ： 程 序 的 流 程 ：
（ 1 ） s t 2 2 a . e x e 解 密 字 符 串 : " h t t p : / / 2 1 1 . 1 6 0 . 1 6 6 . 2 0 9 : 9 9 9 8 / N e t S y s t 9 6 . d l l " （ 2 ） 下 载 这 个 文 件 （ 加 密 的 数 据 ） ， 放 在 C 盘 的 某 个 路 径 下 ， 载 入 文 件 进 内 存 ， 解 密 运 行 d l l m a i n - > 脱 壳 ； （ 3 ） 调 用 D l l F u U p g r a d r s   这 个 导 出 函 数 ， 对 文 件 进 行 校 验 ， 确 定 文 件 没 有 被 修 改 或 损 坏 ； （ 4 ） 创 建 E v e n t ： A l u z e m   i a x n k g h r   （ 判 断 有 没 有 该 程 序 运 行 ） ， 有 的 话 则 会 执 行 自 我 删 除 等 清 理 操 作 ； （ 5 ） 判 断 程 序 M o d u l e 是 不 是   C : P r o g r a m   F i l e s M i c r o s o f t   P y a n q d A j l y b o b . e x e （ 判 断 是 不 是 要 被 注 册 为 服 务 的 进 程 ） ， 如 果 不 是 则 创 建 这 个 文 件 并 执 行 ， 添 加 进 注 册 表 ； （ 6 ） 如 果 这 个 文 件 ， 则 会 检 查 注 册 表 添 加 注 表 册 H K E Y _ L O C A L _ M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t s e r v i c e s W s k h l o a g z v t u r b C o n n e c t G r o u p   = n e w ？ ， 如 果 = n e w ， 这 说 明 第 一 次 运 行 A j l y b o b . e x e ， 则 会 将 其 注 册 为 服 务 ； （ 7 ） 如 果 不 是 n e w ， 则 说 明 已 经 是 服 务 ， 注 册 启 动 服 务 主 程 序 ； （ 8 ） 则 启 动 s o c k e t ， 接 收 远 控 命 令 ； （ 9 ） 执 行 远 控 命 令 ； 接 下 来 进 行 详 细 分 析 。 2 .   s t 2 2 a . e x e 分 析 分 析 先 使 用 P E I D 查 看 程 序 ， 掌 握 程 序 基 本 的 静 态 信 息 ， P E I D 显 示 s t 2 2 a . e x e 没 有 加 壳 :
使 用 I D A 加 载 s t 2 2 a . e x e ， 了 解 程 序 流 程 。 I D A 自 动 定 位 到 W i n M a i n ： 只 有 两 个 c a l l ， 很 开 心 ， 分 析 这 两 个 c a l l 就 可 以 了 。 祭 出 神 器 O D ， I D A + O D 分 析 效 率 提 升 5 0 0 0 0 0 0 0 0 0 % 。 （ （ 1 ） ） s u b _ 4 0 2 0 7 0 上 图 中 可 以 看 出 s u b _ 4 0 2 0 7 0 的 参 数 是 o f f s e t _ s z U r l , 是 一 段 没 有 意 义 的 字 符 串 。 s u b _ 4 0 2 0 7 0 的 作 用 就 是 解 密 这 段 字 符 串 ：
解 密 分 为 三 个 过 程 ： ① s u b _ 4 0 1 9 8 0 中 首 先 对 数 据 进 行 B A S E 6 4 解 密 ， （ B a s e 6 4 的 介 绍 和 这 部 分 的 分 析 过 程 请 看 笔 者 的 《 算 法 逆 向 5 》 ， 在 那 篇 文 章 中 ， 笔 者 就 是 使 用 该 程 序 分 析 的 ） B a s e 6 4 解 码 出 的 数 据 ： x e 2   x 3 3   x 6 7   x 2 2   x 2 c   x f b   x 0 1   x 8 b x 1 4   x a 8   x 5 d   x 1 f   x 0 d   x 9 7   x 1 8   x 6 c x d 3   x 3 7   x 2 a   x 9 0   x f e   x 8 9   x 6 d   x 8 f x b 7   x a 6   x e 9   x 1 1   x f e   x a d   x 1 1   x 3 a x 0 e   x 2 4   x c 6   x 0 d   x 1 6   x 8 0   x 7 9   x 5 6 x d e   x 8 a ② 接 着 程 序 继 续 处 理 这 部 分 数 据 ， 首 先 每 个 字 节 加 上 0 x 7 A 并 异 或 0 x 5 9 ； ③ 最 后 以 “ G e t i n g 5 3 8 ” 为 密 钥 计 算 出 置 换 表 ， 从 置 换 表 中 取 值 进 行 异 或 ， 解 密 出 最 终 的 数 据 ： h t t p : / / 2 1 1 . 1 6 0 . 1 6 6 . 2 0 9 : 9 9 9 8 / N e t S y s t 9 6 . d l l 在 浏 览 器 中 访 问 h t t p : / / 2 1 1 . 1 6 0 . 1 6 6 . 2 0 9 : 9 9 9 8 / ， 发 现 是 一 个 H F S 文 件 服 务 器 ， 目 前 可 能 已 经 有 7 9 4 台 主 机 感 染 该 病 毒 ， 除 了 N e t S y s t 9 6 . d l l ， 攻 击 者 似 乎 还 有 其 他 攻 击 手 段 （ 笔 者 还 没 来 得 及 分 析 ， 这 个 链 接 就 挂 了 ） ：
（ 2 ）   s u b _ 4 0 1 F 5 0 ① s u b _ 4 0 1 F 5 0 首 先 判 断 C : P r o g r a m   F i l e s A p p P a t c h 文 件 夹 下 是 否 存 在 N e t S y s t 9 6 . d l l 文 件 ， 如 果 不 存 在 从 上 述 链 接 中 下 载 ， 并 写 入 C : P r o g r a m   F i l e s A p p P a t c h N e t S y s t 9 6 . d l l
使 用 二 进 制 查 看 工 具 查 看 N e t S y s t 9 6 . d l l ， 发 现 它 被 加 密 ： ② 解 密 的 过 程 和 之 前 使 用 “ G e t i n g 5 3 8 ” 解 密 过 程 相 同 ， 不 过 此 时 使 用 的 是 “ K o t h e r 5 9 9 ” 进 行 解 密 。
③ 之 后 根 据 “ M Z ” 和 “ P E ” 标 志 判 断 是 否 成 功 解 密 ， 如 果 成 功 解 密 ， 则 将 其 以 内 存 对 齐 方 式 存 放 进 内 存 ： ④ 随 后 定 位 N e t S y s t 9 6 . d l l 的 O E P ， 并 运 行 D l l E n t r y P o i n t 。 使 用 P E i d 分 析 N e t S y s t 9 6 . d l l ， 发 现 它 加 了 U P X 的 壳 ， D l l E n t r y P o i n t 就 是 脱 壳 的 过 程 。
⑤ 脱 壳 之 后 ， 程 序 调 用 N e t S y s t 9 6 . d l l 的 导 出 函 数 D l l F u U p g r a d r s 接 下 来 主 要 是 分 析 D l l F u U p g r a d r s 。 2 . 3 .   D l l F u U p g r a d r s   分 析 分 析 ① 函 数 一 开 始 就 会 将 程 序 版 本 号 写 进 数 据 ， 接 下 来 会 判 断 程 序 版 本 ： ② 接 着 程 序 使 用 变 形 的 M D 5 计 算 N e t S y s t 9 6 . d l l 的 校 验 值 ， 并 进 行 校 验 ， 确 保 程 序 没 有 被 修 改 。 ③ D l l F u U p g r a d r s 的 参 数 中 有 一 串 字 符 串 “ / c U l l m 9 4 6 . . . ” ， 程 序 对 其 进 行 解 密 ， 解 密 出 程 序 之 后 会 使 用 的 字 符 串 信 息 ， 如 果 解 密
失 败 ， 则 函 数 退 出 ： ④ 随 后 创 建 名 为 “ A l u z e m   i a x n k g h r ” 的 E v e n t ， 如 果 创 建 失 败 ， 则 说 明 系 统 中 还 有 一 个 本 程 序 实 例 在 运 行 ， 程 序 将 删 除 自 身 并 结 束 运 行 ： 程 序 调 用 V B S 脚 本 删 除 自 身
d i m   w s h . . O n   E r r o r   R e s u m e   N e x t s e t   w s h = c r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) . . S e t   o b j F S O   =   C r e a t e O b j e c t ( " S c r i p t i n g . F i l e S y s t e m O b j e c t " ) . . w s c r i p t . s l e e p   1 0 0 0 . . o b j F S O . D e l e t e F i l e ( " C : U s e r s 1 4 2 1 5 D e s k t o p s t 2 2 a . e x e " ) ,   T r u e . . c r e a t e o b j e c t ( " s c r i p t i n g . f i l e s y s t e m o b j e c t " ) . d e l e t e f i l e   w s c r i p t . s c r i p t f u l l n a m e 如 果 创 建 E v e n t 成 功 ， 则 说 明 本 次 运 行 的 程 序 是 系 统 中 的 唯 一 本 程 序 实 例 。 ⑤ 程 序 将 继 续 判 断 ， 本 次 运 行 的 程 序 路 径 是 不 是 “   C : P r o g r a m   F i l e s M i c r o s o f t   P y a n q d A j l y b o b . e x e ” 如 果 不 是 ， 则 将 创 建 自 身 拷 贝 “   C : P r o g r a m   F i l e s M i c r o s o f t   P y a n q d A j l y b o b . e x e ” ， 并 执 行 程 序 将 自 身 程 序 路 径 加 入 注 册 表 H K E Y _ L O C A L _ M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t s e r v i c e s W s k h l o   a g z v t u r b D e l e t e F i l e s ， 随 后 删 除 自 身 ， 结 束 运 行 。 ⑥ 如 果 程 序 就 是 A j l y b o b . e x e ， 则 会 检 查 H K E Y _ L O C A L _ M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t s e r v i c e s W s k h l o a g z v t u r b C o n n e c t G r o u p   的 值 ， 如 果 是 第 一 次 运 行 A j l y b o b . e x e ， 则 注 册 表 中 没 有 该 键 ， 如 果 不 是 第 一 次 运 行 ， 则 会 检 测 到 该 键 值 是 n e w : 如 果 是 第 一 次 运 行 A j l y b o b . e x e ， 则 会 将 自 己 注 册 为 服 务 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理