搜索

[21907] 2021-04-25_恶意样本分析手册——通讯篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-25_恶意样本分析手册——通讯篇 恶 意 样 本 分 析 手 册 — — 通 讯 篇 L e m o n S e c   2 0 2 1 - 0 4 - 2 5 恶 意 样 本 分 析 手 册 – 特 殊 方 法 篇 恶 意 样 本 分 析 手 册 – 溯 源 篇 传 统 的 恶 意 软 件 一 般 会 采 用 基 于   T C P / U D P   的 自 定 义 协 议 进 行 通   讯 ， 在 此 基 础 上 还 有 利 用   H T T P / H T T P S ， I R C ， P 2 P   等 其 他 应 用 层 协 议   来 进 行 通 讯 的 。 一 般 来 说 在 调 试 网 络 通 信 的 过 程 中 ， 无 论 恶 意 软 件 采   用 何 种 协 议 均 对 我 们 所 关 注 的 内 容 无 太 多 影 响 ， 只 需 要 获 取 到 对 应 的   网 络 通 信 数 据 即 可 ， 而 且 在 调 试 方 法 上 基 本 无 差 别 ， 故 我 们 将 以 调 试   利 用   T C P   通 信 的 样 本 为 例 ， 讲 述 如 何 调 试 样 本 中 的 网 络 通 信 部 分 。 对   于 其 他 常 见 的 应 用 层 协 议 ， 我 们 将 对 其 网 络 结 构 及 相 关 的 僵 尸 网 络 构   建 方 式 和 方 法 进 行 简 单 描 述 ， 便 于 读 者 理 解 。 基 于   T C P / U D P   自 定 义 协 议 网 络 通 信 分 析 基 于   T C P   协 议 的 自 定 义 协 议 在 样 本 分 析 过 程 中 非 常 常 见 ， 可 以 利   用 其 上 传 下 载 信 息 ， 发 送 控 制 命 令 等 ， 在 代 码 层 次 来 看 ， 一 般 是 使 用   了   s o c k e t   套 接 字 进 行 实 现 。 话 不 多 说 ， 直 接 进 入 正 题 。 一 个 简 单 的 基 于   T C P   协 议 的 接 收 程 序 : i n t   m a i n ( )   { / /   创 建 套 接 字 S O C K E T   s   =   : : s o c k e t ( A F _ I N E T ,   S O C K _ S T R E A M ,   I P P R O T O _ T C P ) ;   i f ( s   = =   I N V A L I D _ S O C K E T )   { p r i n t f ( " F a i l e d   s o c k e t ( )   n " ) ; r e t u r n   0 ;   } / /   填 写 远 程 地 址 信 息 s o c k a d d r _ i n   s e r v A d d r ; s e r v A d d r . s i n _ f a m i l y   =   A F _ I N E T ; s e r v A d d r . s i n _ p o r t   =   h t o n s ( 4 5 6 7 ) ;   s e r v A d d r . s i n _ a d d r . S _ u n . S _ a d d r   =   i n e t _ a d d r ( " 1 2 7 . 0 . 0 . 1 " ) ;   i f ( : : c o n n e c t ( s ,   ( s o c k a d d r * ) & s e r v A d d r ,   s i z e o f ( s e r v A d d r ) )   = =   - 1 ) { p r i n t f ( " F a i l e d   c o n n e c t ( )   n " ) ;   r e t u r n   0 ; } / /   接 收 数 据 c h a r   b u f f [ 2 5 6 ] ; i n t   n R e c v   =   : : r e c v ( s ,   b u f f ,   2 5 6 ,   0 ) ;   i f ( n R e c v   >   0 )   {
b u f f [ n R e c v ]   =   ' 0 ' ; p r i n t f ( "   接 收 到 数 据 : % s " ,   b u f f ) ;   } / /   关 闭 套 接 字   : : c l o s e s o c k e t ( s ) ;   r e t u r n   0 ; } 那 么 自 定 义 协 议 又 是 什 么 呢 ? 本 身 应 用 层 的 协 议 就 是 服 务 器 与 客   户 端 之 间 互 相 约 定 来 进 行 信 息 交 流 的 规 范 ， 恶 意 软 件 也 可 以 创 建 一 个 约 定 用 来 和 被 感 染 的 机 器 进 行 交 流 。 一 般 来 说 ， 在 分 析 通 信 协 议 ， 进 而 解 析 数 据 包 内 容 具 体 含 义 的 情   形 中 ， 僵 尸 网 络 这 一 类 的 样 本 是 最 多 的 ， 我 们 将 以 僵 尸 网 络 为 例 来 进 行 讲 解 。 当 一 个 僵 尸 主 机 想 要 加 入 僵 尸 网 络 的 时 候 ， 会 先 发 送 一 个 标 志 包   给 僵 尸 网 络 的 主 控 服 务 器 ， 我 们 将 其 称 为 上 线 数 据 包 ， 上 线 数 据 包 中 一 般 会 包 含 僵 尸 主 机 的 一 些 基 本 信 息 ， 例 如 计 算 机 名 称 ， 硬 件   I D ， 计   算 机 版 本 信 息 等 等 内 容 ， 在 传 输 之 前 ， 可 能 使 用 一 些 比 较 简 单 的 自 定   义 算 法 ， 或 者   R S A 、 A E S   这 类 成 熟 的 算 法 进 行 加 密 。 对 于 加 密 数 据 的 处 理 ， 需 要 确 定 的 是 是 否 有 采 用 已 知 的 算 法 ， 定   位 一 些 关 键 函 数 是 非 常 快 速 的 方 法 ， 以   W i n d o w s   程 序 为 例 : 需 要 确   定 是 否 导 入 了   C r y p t * 系 列 的 函 数 。 如 果 有 ， 查 看   C r y p t G e n K e y 、   C r y p t I m p o r t K e y   函 数 来 截 获 加 密 类 型 及 加 密 密 钥 信 息 ， 查 看 C r y p t E n c r y p t   函 数 来 截 获 要 加 密 的 内 容 。 如 果 没 有 导 入 这 类 函 数 ， 很 有 可 能 是 采 用 了 自 定 义 的 加 密 算 法 ， 最 快 的 跟 踪 方 法 是 定 位 到 发 送 部   分 的 函 数 ， 向 前 追 溯 ， 找 到 加 密 函 数 。 数 据 发 送 的 方 式 也 非 常 简 单 ， 只 需 要 构 造 好 需 要 发 送 的 数 据 ， 使   用   s o c k e t   套 接 字 提 供 的   s e n d   接 口 函 数 即 可 。 当 然 ， 在 实 际 分 析 的 过 程 中 ， 可 能 会 发 现 无 法 连 接 到 僵 尸 网 络 的 主 控 服 务 器 上 ( 即   C & C   服 务   器 ) ， 为 了 让 程 序 正 常 执 行 ， 并 且 捕 获 数 据 包 ， 你 需 要 对   C & C   服 务 器   进 行 模 拟 。 此 种 方 法 对 于 分 析 失 联 的   C & C   通 讯 尤 为 有 效 ， 同 时 ， 在   了 解 整 个 恶 意 软 件 的 运 行 细 节 之 前 ， 同 样 建 议 使 用 这 种 方 式 进 行 分 析 ，   当 对 恶 意 软 件 进 行 了 深 入 分 析 之 后 ， 再 连 接 到 真 实 的   C & C   服 务 器 上 ，   获 取 其 发 来 的 指 令 信 息 。 在 网 络 上 ， 我 们 可 以 很 简 单 的 搜 索 到 模 拟 服 务 器 之 类 的 软 件 ， 非   常 方 便 ， 在 分 析 恶 意 软 件 时 ， 如 果 该 恶 意 软 件 使 用 了 域 名 作 为 连 接 的 途 径 ， 我 们 可 以 在 调 试 的 过 程 中 发 现   g e t h o s t b y n a m e   函 数 ， 我 们 可 以   修 改 其 返 回 值 为 我 们 自 己 虚 拟 机 的   I P   地 址 : 1 9 2 . 1 6 8 . 1 0 0 . 1 。
在 虚 拟 机   1 9 2 . 1 6 8 . 1 0 0 . 1   上 ， 我 们 可 以 运 行   T C P   监 听 软 件 或 者 是   n e t c a t ， 监 听 恶 意 程 序 需 要 连 接 的 端 口 ， 直 到 其 连 接 即 可 获 取 上 线 数 据 包 中 的 内 容 。 数 据 包 长 度   ( 4   字 节 ) 命 令 控 制 字   ( 4   字 节 ) 命 令 内 容   ( n   字 节 ) 可 配 置 选 项   ( n   字 节 ) 在   I D A   中 我 们 一 般 能 够 看 到 相 关 的 命 令 解 析 部 分 ， 如 下 图 所 示 :
根 据   I D A   中 解 析 命 令 数 据 包 的 代 码 来 对 整 个 命 令 包 的 数 据 格 式 进   行 分 析 ， 是 了 解 僵 尸 网 络 功 能 的 最 佳 途 径 ， 采 用 这 种 方 法 能 够 获 取 完   整 的 指 令 表 。 对 于   U D P   来 说 ， 自 定 义 协 议 可 能 是 用 起 来 不 是 很 方 便 ， 因 为 攻 击   者 无 法 确 定 僵 尸 主 机 是 否 正 确 接 收 到 控 制 主 机 的 命 令 ， 所 以 ， 基 于 U D P   的 点 对 点 通 信 技 术 ( P 2 P ) 在 攻 击 者 看 来 非 常 适 合 传 播 恶 意 软 件 ，   共 享 命 令 ( 当 然 基 于   T C P   的 也 很 好 ) 。 P 2 P   网 络 ( P e e r   t o   P e e r   对 等 网 络 ) P 2 P   网 络 大 致 分 为 三 类 ， 集 中 目 录 式   P 2 P   网 络 ， 全 分 布 无 结 构   P 2 P   网 络 ， 全 分 布 结 构 化   P 2 P   网 络 。 大 部 分 人 眼 中   P 2 P   僵 尸 网 络 的 构 造 和 下 图 类 似 ， 所 有 僵 尸 主 机 通   过   I P   地 址 互 相 连 接 ， 互 相 发 送 命 令 ， 完 全 不 需 要 中 心 服 务 器 或 者 域 名 。 但 是 ， 这 种 表 述 是 错 误 的 。
那 些 使 用 了 防 火 墙 ， N A T   或 者 代 理 来 访 问 网 络 的 计 算 机 是 无 法 接   受 连 入 请 求 的 ， 它 们 只 能 向 外 发 起 链 接 ， 这 使 得 大 多 数 僵 尸 主 机 无 法   被 另 外 一 个 僵 尸 主 机 直 接 连 接 。 所 以 说 ， 建 立   P 2 P   僵 尸 网 络 仍 然 是 需 要 服 务 器 的 ， 只 不 过 形 式 上 是 不 相 同 的 。 控 制 者 将 那 些 可 以 接 收 连 入 请 求 的 僵 尸 主 机 作 为 一 个 节 点 ， 其 他 的 无 法 作 为 节 点 的 僵 尸 主 机 将 向 节 点 发 起 连 接 ， 获 取 指 令 信 息 。 真 实 环 境 下 的   P 2 P   网 络 构 造 图 如 下 : 要 将 一 台 主 机 加 入 到 僵 尸 网 络 中 去 ， 它 至 少 需 要 获 取 一 个 节 点 的   地 址 ， 这 时 候 需 要 一 台 或 者 多 台 服 务 器 来 进 行 引 导 ， 服 务 器 上 应 维 护 了 一 个 巨 大 的 节 点 地 址 池 ， 并 将 其 中 一 部 分 发 送 到 僵 尸 主 机 上 ， 在 病   毒 文 件 中 应 硬 编 码 了 一 系 列 可 供 其 连 接 的 服 务 器 的 地 址 ， 当 程 序 第 一   次 在 被 感 染 的 计 算 机 上 运 行 时 ， 它 就 会 连 接 到 这 些 服 务 器 。 因 此 ， 在 分 析   P 2 P   网 络 架 构 的 病 毒 文 件 时 ， 主 要 是 找 到 相 应 的 节   点 地 址 ， 获 取 到 种 子 ， 以 便 对 整 个 僵 尸 网 络 有 一 个 初 步 的 认 知 。 命 令   执 行 等 内 容 参 考 基 于   T C P / U D P   自 定 义 协 议 网 络 通 信 分 析 这 一 节 内 容   即 可 。 基 于   I R C   协 议 的 通 信 方 式 I R C ( I n t e r n e t   R e p l a y   C h a t : 互 联 网 中 继 聊 天 ) 协 议 是 基 于 客 户 服   务 器 ( C l i e n t - S e r v e r ) 模 型 的 ， 可 以 以 分 布 式 方 式 运 行 在 接 入 网 络 的 机   器 上 。 由 于 其 要 求 每 个 服 务 器 都 拥 有 整 个 网 络 的 全 局 状 态 信 息 ， 限 制   了 一 个 网 络 能 够 达 到 的 最 大 规 模 ， 故 基 于 此 协 议 的   b o t n e t   的 规 模 一   般 是 可 控 制 的 。 一 个   I R C   网 络 的 典 型 设 置 为 : 一 个 单 一 的 处 理 器 ( 服 务 器 ) 扮 演 了   整 个 网 络 的 中 心 点 以 供 客 户 端 ( 包 含 其 他 服 务 器 ) 进 行 连 接 ， 并 且 实 现 指 定 消 息 的 传 送 / 复 用 以 及 其 他 的 功 能 。 一 个   I R C   网 络 的 组 件 包 括 : 服 务 器 ， 客 户 机 ( 包 含 用 户 客 户 机 ， 一   般 指 用 于 交 流 的 界 面 程 序 ; 服 务 客 户 机 ， 一 般 指 可 以 随 意 使 用 来 自 与 服 务 器 的 加 密 数 据 ， 用 于 提 供 数 据 统 计 等 服 务 ) 。
对 于   I R C   来 说 ， 受 感 染 的 机 器 成 为 僵 尸 主 机 以 后 ， 首 先 要 做 的 事   情 就 是 加 入 预 先 指 定 的 “ 频 道 “ 中 去 ， 以 接 收 控 制 主 机 发 来 的 命 令 及 其   他 内 容 。 上 图 这 段 代 码 中 ， 会 先 给 指 定 的 服 务 器 发 送 所 谓 的 密 码 信 息 ， 接   着 发 送 昵 称 以 用 于 注 册 自 己 ， 当 我 们 被 服 务 器 接 受 并 加 入 到 指 定 的 聊 天 频 道 之 后 ， I R C   僵 尸 主 机 的 上 线 行 为 就 完 成 了 。 后 续 只 需 要 监 控 接   收 到 的 信 息 及 逆 向 分 析 相 关 的 处 理 函 数 逻 辑 ， 即 可 完 整 的 解 析 命 令 内   容 ， 但 是 我 们 经 常 会 遇 见 无 法 连 接 到 服 务 器 的 情 况 ， 在 这 种 情 况 下 ，   我 们 可 以 临 时 搭 建 一 个   I R C   服 务 器 ， 在   P y t h o n   的   P y P i   网 站 上 可 以 找   到   I R C   的   p y t h o n   包 ， 只 需 要 修 改   s e t u p . p y   文 件 中 频 道 等 相 关 信 息 ，   运 行 起 来 后 监 听 指 定 端 口 就 可 以 了 。 利 用 隐 藏 隧 道 传 输 数 据 恶 意 软 件 为 了 保 证 通 讯 的 数 据 在 通 信 信 道 中 不 被 检 测 类 设 备 发 现   和 防 护 类 设 备 阻 断 ， 会 将 数 据 隐 藏 在 已 知 协 议 的 保 留 字 段 或 者 可 以 更 改 的 信 息 字 段 中 ， 这 里 以   D N S   协 议 为 里 进 行 分 析 。 D N S   在 网 络 世 界 中 是 一 个 非 常 重 要 的 协 议 ， 它 将 长 串 的 不 适 合 记   忆 的   I P   地 址 映 射 成 可 读 性 较 强 的 字 符 域 名 。 域 名 的 存 储 、 解 析 和 管 理 都 要 通 过 域 名 服 务 器 来 实 现 ， D N S   的 记 录 类 型 有 很 多 ， 大 家 常 见 的   有   A ， A A A A ， C N A M E ， M X ， S O A ， N S   等 。 D N S   隧 道 技 术 可 以 利 用   其 中 的 一 些 记 录 类 型 来 传 输 数 据 。 例 如   A ， M X ， C N A M E ， T X T ， N U L L 等 。 D N S   的 解 析 过 程 可 以 分 为 两 种 类 型 : 迭 代 查 询 和 递 归 查 询 。 通 常 本 机 到   L o c a l   D N S   S e r v e r   的 过 程 属 于 递 归 查 询 ， 而   L o c a l   D N S   S e r v e r 对 查 询 域 名 的 解 析 过 程 属 于 迭 代 查 询 。 为 了 减 轻   L o c a l   D N S   S e r v e r   的   压 力 ， 提 高 解 析 速 度 ， 引 入 了 缓 存 机 制 。 缓 存 和   T T L   紧 密 相 连 ， 当   T T L   过 期 ， L o c a l   D N S   S e r v e r   则 会 丢 弃 缓 存 的 数 据 ， 重 新 从 权 威 域 名 服 务   器 上 获 取 新 的 数 据 。 因 此 恶 意 软 件 在 利 用 此 技 术 的 时 候 会 将 相 应 的   T T L   值 设 置 的 非 常   小 ， 或 者 设 置 多 个 不 同 的 域 名 用 于 控 制 主 机 与 僵 尸 主 机 的 通 信 ， 迫 使   发 送 的   D N S   请 求 数 据 能 够 始 终 传 递 到 攻 击 者 控 制 的   D N S   服 务 器 上 。 上 图 展 示 了 恶 意 软 件   D e n i s   的 流 量 情 况 ， D e n i s   对 外 发 送 了 大   量 的   D N S   查 询 请 求 ， 查 询 A A A A A A A A A A A A A A A H M 8 . z . t e r i a v a . c o m   的 地 址 ，   但 是   g o o g l e   的 域 名 服 务 器 中 没 有 此 记 录 项 ， 则 该 请 求 会 传   递 给 权 威 域 名 服 务 器 进 行 查 询 ， 最 后 ， 将 此   D N S   查 询 包 发 送 给 了 黑 客 控 制 的 服 务 器 上 ， 也 就 是   z . t e r i a v a . c o m   这 个 地 址 。 地 址 之 前 的 所 有   内 容 都 是 发 送 给 攻 击 者 的 信 息 。 在 进 行 样 本 分 析 的 过 程 中 ， 应 首 先 到 找 到 加 密 数 据 所 使 用 的 加   密 算 法 ， 以 便 于 获 取 上 传 的 所 有 信 息 。 分 析 时 可 以 定 位 到 解 析 域 名 相 关 的 函 数 处 ， 在   W i n d o w s   上 ， 一 般 是 使 用   g e t h o s t b y n a m e   等 函 数 。 从 此 部 分 开 始 往 前 追 溯 ， 还 原 数 据 搜 集 以 及 加 密 的 部 分 ， 是 非 常 有 效
且 高 效 率 的 。 H T T P / H T T P S   通 信 内 容 分 析 对 于 大 多 数 恶 意 软 件 来 说 ， 利 用   H T T P   协 议 进 行 数 据 上 传 及 下 载   是 非 常 方 便 的 ， 而 且 容 易 将 恶 意 流 量 隐 藏 在 大 量 的   w e b   流 量 中 。 H T T P   协 议 是 基 于   T C P   实 现 的 ， 从 分 析 角 度 上 来 说 与 基 于   T C P   协 议 的 自 定   义 协 议 分 析 没 有 太 大 差 别 ， 需 要 注 意 的 是 ， 大 多 数   H T T P 通 信 是 使 用   了   G E T   或 者   P O S T   方 法 ， 非 常 好 辨 别 数 据 ， 但 是 也 有 很 多 例 外 ， 举 个   特 殊 例 子 : 使 用   X M L   文 档 来 进 行 数 据 传 输 的 情 况 。 通 信 方 式 : 僵 尸 主 机 会 尝 试 连 接 控 制 服 务 器 ， 以 请 求 一 个 包 含 有   指 令 的   X M L   文 档 到 本 地 ， 该   X M L   文 档 会 使 用 一 些 伪 装 性 的 标 签 或 内 容 ， 以 隐 藏 真 实 的 命 令 内 容 ， 如 : < ? x m l   v e r s i o n = " 1 . 0 " ? > < D a t a   x m l n s = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / I o "   x m l n s : i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e " > < H w i d > W I N - H V 9 T U 5 V P R A N - h e l l o - 2 8 3 0 9 5 A 0 < / H w i d >   < I o D a t a > < C o m m a n d R e s u l t s x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " > < a : _ a r r a y   x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / I o . C o m m a n d s "   / >   < a : _ h e a d > 0 < / a : _ h e a d > < a : _ s i z e > 0 < / a : _ s i z e > < a : _ t a i l > 0 < / a : _ t a i l > < a : _ v e r s i o n > 0 < / a : _ v e r s i o n > < / C o m m a n d R e s u l t s > < C o m m a n d s D a t a x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / I o . C o m m a n d s "   / > i : n i l = " t r u e " < F i l e s L i s t   x m l n s : a = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s "   / >   < F o u n d F i l e s   x m l n s : a = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s "   / >   < H w i d > W I N - H V 9 T U 5 V P R A N - h e l l o - 2 8 3 0 9 5 A 0 < / H w i d > < K r e g s Q u e u e   x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " > < a : _ a r r a y   x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / H e l p e r s "   / >   < a : _ h e a d > 0 < / a : _ h e a d > < a : _ s i z e > 0 < / a : _ s i z e >
< a : _ t a i l > 0 < / a : _ t a i l > < a : _ v e r s i o n > 0 < / a : _ v e r s i o n >   < / K r e g s Q u e u e > < L o g s Q u e u e   x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " >   < a : _ a r r a y   x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / H e l p e r s "   / >   < a : _ h e a d > 0 < / a : _ h e a d > < a : _ s i z e > 0 < / a : _ s i z e > < a : _ t a i l > 0 < / a : _ t a i l > < a : _ v e r s i o n > 0 < / a : _ v e r s i o n >   < / L o g s Q u e u e > < S c r e e n s h o t s Q u e u e x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " > < a : _ a r r a y   x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / I o . C o m m a n d s . S c r e e n S h o t s " / > < a : _ h e a d > 0 < / a : _ h e a d >   < a : _ s i z e > 0 < / a : _ s i z e >   < a : _ t a i l > 0 < / a : _ t a i l >   < a : _ v e r s i o n > 0 < / a : _ v e r s i o n > < / S c r e e n s h o t s Q u e u e > < S y s I n f o   i : n i l = " t r u e "   x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / H e l p e r s "   / >   < T a s k s L i s t   x m l n s : a = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s "   / >   < T r a n s f e r F i l e s Q u e u e x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " > < a : _ a r r a y   x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / H e l p e r s . F i l e s "   / >   < a : _ h e a d > 0 < / a : _ h e a d > < a : _ s i z e > 0 < / a : _ s i z e > < a : _ t a i l > 0 < / a : _ t a i l > < a : _ v e r s i o n > 0 < / a : _ v e r s i o n >   < / T r a n s f e r F i l e s Q u e u e > < / I o D a t a >   < R e q u e s t T y p e > R e s p o n s e G e t C o m m a n d s < / R e q u e s t T y p e >   < T i m e > 2 0 1 7 - 1 0 - 1 6 T 1 1 : 2 1 : 1 6 . 5 2 0 1 1 3 Z < / T i m e > < / D a t a > 僵 尸 主 机 接 收 到 此   X M L   文 档 后 ， 会 读 取 其 中 的 命 令 ， 执 行 后 将 搜 集 到 的 信 息 或 其 他 内 容 填 入   X M L   文 件 的 指 定 位 置 中 ， 经 过 加 密 / 压 缩   等 方 式 对 数 据 进 行 处 理 ， 再 回 传 给 控 制 服 务 器 。 那 么 在 控 制 服 务 器 连   接 不 上 的 情 况 下 如 何 分 析 此 类 恶 意 软 件 呢 ? 特 别 的 ， 如 果 采 用
了   H T T P S   进 行 通 信 ， 应 该 如 何 去 分 析 呢 ? H T T P   通 信 用 于 请 求 文 件 ， 上 传 信 息 ， 所 以 我 们 只 需 要 搭 建 一 个   H T T P   服 务 器 即 可 接 收 或 者 提 交 文 件 供 恶 意 软 件 进 行 下 载 。 在 W i n d o w s   下 ， 我 们 可 以 使 用   I I S   或 者 下 载   a p a c h e   等 软 件 ， 搭 建 一 个   简 单 的   H T T P   服 务 器 。 修 改   h o s t   文 件 ， 重 定 向 原 本 的 域 名 到 自 己 虚 拟   机 地 址 上 ， 上 传 恶 意 软 件 需 要 的 文 件 到 服 务 器 上 ， 使 得 恶 意 软 件 能 正   常 执 行 功 能 ， 从 而 能 够 继 续 后 续 功 能 的 分 析 。 H T T P S   使 用 了 证 书 加 密 ， 使 得 分 析 人 员 通 过 沙 盒 等 自 动 化 分 析 工   具 获 取 发 送 的 数 据 变 得 更 加 困 难 ， 但 是 在 动 态 调 试 过 程 中 ， 我 们 可 以   在 建 立 链 接 之 前 ， 将 域 名 更 改 为   H T T P   协 议 头 ， 来 避 免 通 信 过 程 的 加   密 ， 同 时 也 方 便 我 们 自 己 搭 建   H T T P   服 务 器 ， 免 去 证 书 认 证 的 繁 琐 的   操 作 ( 当 然 你 可 以 提 前 搭 建 这 类 有 证 书 分 析 环 境 ， 如 果 这 样 的 话 ， 那   会 非 常 方 便 ) 。 除 此 之 外 ， 我 们 可 以 使 用 中 间 人 攻 击 技 术 ， 在 恶 意 软   件 与 真 正 的 控 制 服 务 器 通 信 的 时 候 截 获 通 信 内 容 ， 从 而 免 去 分 析 恶 意   软 件 的 麻 烦 。 利 用   T w i t t e r   或 其 他 开 放 平 台 进 行 通 信 僵 尸 网 络 利 用   T w i t t e r   或 者 微 博 等 公 开 平 台 传 递 信 息 已 经 是 一 个 公 开 的 方 式 和 方 法 了 ， 在   A P T 2 9   中 使 用 的 恶 意 软 件   H A M M E R T O S S   就 是 基 于 此 的 。 原 理 非 常 简 单 ， 利 用   T w i t t e r   提 供 的   A P I   及 攻 击 者 使 用   的 账 号 ， 上 传 信 息 到 指 定 账 号 或 者 读 取 指 定 账 号 中 的   T w i t t e r   信 息 ，   从 中 获 取 命 令 ， U R L   等 等 一 系 列 内 容 。 另 外 ， 通 过   G i t h u b   进 行 文 件 下 载 或 者 上 传 也 是 这 类 恶 意 软 件 采 用   的 比 较 新 奇 的 方 法 ， 通 过 这 种 方 式 上 传 受 害 者 信 息 ， 或 者 说 下 载 文 件   到 本 地 ， 都 非 常 容 易 被 网 络 管 理 员 忽 略 ， 从 而 达 到 隐 藏 自 身 网 络 流 量   的 目 的 。 对 于 这 类 恶 意 软 件 的 分 析 ， 需 要 注 意 的 是 导 入 表 中 包 含 的   T w i t t e r A P I 、 G i t h u b A P I   相 关 的 函 数 ， 定 位 到 这 部 分 代 码 后 ， 参 照 这 类   网 站 提 供 的   A P I   说 明 文 档 及 示 例 ， 即 可 简 单 的 对 其 进 行 逆 向 分 析 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理