搜索

[28140] 2020-02-07_关于APT40组织工具Word恶意软件分析（1）

文档创建者：s7ckTeam
浏览次数：254
最后更新：2025-01-19
2020-02-07_关于APT40组织工具Word恶意软件分析（1） 关 于 A P T 4 0 组 织 工 具 W o r d 恶 意 软 件 分 析 （ 1 ） O t s 安 全   2 0 2 0 - 0 2 - 0 7 在 2 0 1 9 年 3 月 2 7 日 ， 我 们 注 意 到 C l e a r S k y   C y b e r   S e c u r i t y 在 T w i t t e r 上 发 布 了 一 个 名 为 “   T i m e l i n e s - E C R L . d o c x ” （ M D 5 ： 0 1 b 5 2 7 6 f d f d a 2 0 4 3 9 8 0 c b c e 1 9 1 1 7 a a a 0 ） 的 示 例 ， 该 示 例 可 能 涉 及 马 来 西 亚 的 “ 东 海 岸 铁 路 ” 项 目 。 据 说 使 用 模 板 注 入 从 1 6 7 . 9 9 . 7 2   [ . ]   8 2 加 载 宏 ， 然 后 从 M s M p E n g . e x e 通 过 d l l 侧 加 载 删 除 未 知 的 d l l 后 门 （ M D 5 ： 4 c 4 7 c a 6 e c f 0 c f e 3 1 2 e b 2 7 6 0 2 2 a 0 c 3 8 1 ） 。 然 后 ， 该 恶 意 软 件 将 向 位 于 1 9 5 . 1 2 . 5 0   [ . ]   1 6 8 的 C 2 发 出 信 标 。 对 我 而 言 ， 这 很 有 趣 ， 因 为 除 了 文 档 中 通 常 的 嵌 入 宏 之 外 ， 我 从 未 遇 到 过 这 种 执 行 宏 的 方 法 。 当 我 设 法 获 得 C l e a r S k y   C y b e r S e c u r i t y 发 布 的 恶 意 文 档 时 ， 我 决 定 看 一 下 它 的 工 作 原 理 。 打 开 文 档 后 ， 它 将 显 示 以 下 内 容 ： 为 了 进 一 步 分 析 该 文 档 ， 我 将 其 解 压 缩 ， 从 而 可 以 查 看 其 目 录 结 构 。 查 看 文 档 的 目 录 结 构 ， 发 现 在 文 件 “   s e t t i n g s . x m l . r e l s ” 下 ， 文 档 设 置 为 具 有 从 h t t p ： / / 1 6 7 . 9 9 . 7 2   [ . ]   8 2 检 索 的 附 件 模 板 。 / m a i n [ . ] d o t m 。 M i c r o s o f t   O f f i c e   W o r d 中 的 模 板 是 预 先 设 计 的 文 档 ， 文 档 的 编 辑 者 可 以 创 建 模 板 并 将 其 用 作 文 档 的 模 式 。 这 些 模 板 可 以 包 含 “ 宏 ” ， 可 以 帮 助 建 立 文 档 模 式 。 此 外 ， M i c r o s o f t 允 许 文 档 在 线 访 问 模 板 。 这 些 功 能 可 能 使 普 通 用 户 可 以 方 便 地 在 线 共 享 和 获 取 模 板 ， 但 是 ， 正 如 我 们 在 本 例 中 所 看 到 的 那 样 ， 这 可 能 带 来 安 全 风 险 。 恶 意 宏 没 有 驻 留 在 文 档 中 ， 而 是 驻 留 在 在 线 托 管 的 文 档 模 板 文 件 中 。 这 不 仅 使 文 档 可 以 绕 过 安 全 扫 描 ， 而 且 还 可 以 绕 过 可 疑 用 户 的 眼 睛 ， 因 为 在 文 档 本 身 中 找 不 到 宏 。 话 虽 如 此 ， 但 有 迹 象 表 明 用 户 可 能 会 注 意 。 例 如 ， 当 他 们 打 开 这 种 类 型 的 文 档 时 ， 他 们 会 看 到 M i c r o s o f t   W o r d 在 连 接 到 I n t e r n e t 进 行 下 载 的 过 程 中 打 开 速 度 很 慢 。 同 样 ， 他 们 将 能 够 看 到 M i c r o s o f t   w o r d 正 在 其 启 动 窗 口 与 某 个 服 务 器 联 系 。
由 此 ， 可 以 理 解 该 模 板 注 入 是 如 何 工 作 的 。 由 此 ， 可 以 理 解 该 模 板 注 入 是 如 何 工 作 的 。 在 目 录 结 构 中 进 一 步 查 看 ， 会 发 现 有 两 个 嵌 入 式 对 象 - o l e O b j e c t 1 . b i n 和 o l e O b j e c t 2 . b i n 。 检 查 文 件 的 十 六 进 制 值 发 现 它 们 是 P E 对 象 。 从 o l e O b j e c t 1 . b i n 中 提 取 的 P E 对 应 于 未 知 的 后 门 d l l ， 据 报 道 该 后 门 d l l 在 加 载 宏 时 被 删 除 ， 而 另 一 个 是 “   M s M p E n g . e x e ” ， 该 D L L 会 侧 加 载 该 d l l ， 并 在 恶 意 的 情 况 下 调 用 其 导 出 函 数 “   S e r v i c e C r t M a i n ” 代 码 所 在 。 即 使 在 查 看 模 板 时 无 法 使 用 用 于 下 载 模 板 的 u r l ， 我 仍 然 发 现 它 已 发 布 在 C s 0 s f   p a s t e b i n （ h t t p s ： / / p a s t e . b i n / b 3 F e M b x 6 ） 上 。 下 面 的 代 码 片 段 包 含 宏 的 主 要 部 分 。
请 注 意 ， 在 宏 中 找 到 的 I P 对 应 于 下 载 宏 的 I P 。 但 是 ， 此 处 的 I P 的 第 一 个 八 位 位 组 不 是 “   1 6 7 ” ， 而 是 无 效 的 “   1 1 6 7 ” 。 目 前 尚 不 清 楚 这 是 由 宏 的 作 者 故 意 完 成 的 ， 还 是 将 该 宏 发 布 到 p a s t e b i n 上 的 用 户 是 否 已 对 其 进 行 了 更 改 以 停 用 u r l ， 以 便 其 他 人 不 会 意 外 感 染 其 计 算 机 。 可 以 肯 定 的 是 ， 这 不 太 可 能 是 拼 写 错 误 ， 因 为 u r l 后 面 的 字 符 串 是 不 同 的 ， 即 使 将 其 复 制 粘 贴 ， 它 也 会 进 行 一 些 修 改 ， 因 此 应 该 将 其 选 中 。 从 上 面 的 代 码 片 段 中 可 以 进 一 步 理 解 ， 将 删 除 两 个 文 件 并 随 后 执 行 它 们 - E x e 和 D l l 。 这 是 前 面 提 到 的 文 档 中 嵌 入 的 两 个 P E 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理