搜索

[28422] 2020-07-19_PDF文件传播Loki恶意软件变体分析

文档创建者：s7ckTeam
浏览次数：119
最后更新：2025-01-19
2020-07-19_PDF文件传播Loki恶意软件变体分析 P D F 文 件 传 播 L o k i 恶 意 软 件 变 体 分 析 X i a o p e n g   Z h a n g   O t s 安 全   2 0 2 0 - 0 7 - 1 9 背 景 背 景 L o k i   B o t 已 被 观 察 多 年 。 如 您 所 知 ， 它 旨 在 从 受 害 者 计 算 机 上 已 安 装 的 软 件 中 窃 取 凭 据 ， 例 如 电 子 邮 件 客 户 端 ， 浏 览 器 ， F T P 客 户 端 ， 文 件 管 理 客 户 端 等 。 F o r t i G u a r d   L a b s 最 近 捕 获 了 一 个 P D F 样 本 ， 该 样 本 用 于 传 播 新 的 L o k i 变 体 。 在 此 博 客 中 ， 我 们 将 分 析 此 新 变 体 的 工 作 原 理 以 及 它 所 窃 取 的 东 西 。 P D F 样 本 样 本 图 1 .   P D F 示 例 的 内 容 P D F 样 本 仅 包 含 一 页 ， 如 上 所 示 ， 其 中 包 含 一 些 社 会 工 程 学 内 容 ， 以 诱 使 用 户 下 载 并 运 行 恶 意 软 件 。
图 2 .   P D F 示 例 中 的 对 象 根 据 示 例 内 容 （ 图 2 ） ， 示 例 中 的 注 释 对 象 包 括 一 个 U R I 操 作 ， 在 该 操 作 中 下 载 了 恶 意 软 件 。 将 自 身 添 加 到 启 动 文 件 夹 首 次 执 行 此 恶 意 软 件 时 ， 它 将 自 身 复 制 到 “ ％ A p p D a t a ％   s u b f o l d e r ” ， 然 后 在 我 的 测 试 环 境 中 将 其 重 命 名 为 “   c i t r i o . e x e ” 。 然 后 ， 它 创 建 一 个 可 以 启 动 “   c i t r i o . e x e ” 的 V B S 文 件 。 图 3 显 示 了 其 代 码 。 V B S 文 件 已 添 加 到 系 统 的 “ 开 始 ” 菜 单 中 ， 因 此 可 以 在 系 统 启 动 时 自 动 运 行 。 所 有 这 些 操 作 完 成 后 ， 将 启 动 “   c i t r i o . e x e ” 。 图 3 .   S t a r t u p 中 的 V B S 文 件 及 其 代 码 新 的 新 的 L o k i 变 体 如 何 工 作 变 体 如 何 工 作 该 恶 意 软 件 中 正 在 调 用 的 所 有 A P I 均 被 隐 藏 ， 将 在 调 用 前 将 其 还 原 。 这 增 加 了 研 究 人 员 分 析 它 的 难 度 。 图 4 显 示 了 一 个 示 例 。 用 哈 希 值 （ C 5 F A 8 8 F 1 h ） 和 D L L 编 号 （ 0 A h ） 调 用 s u b _ 4 0 3 1 E 5 函 数 后 ， e a x 指 向 A P I “   C o m m a n d L i n e T o A r g v W ” 。
图 4 . 恢 复 隐 藏 的 A P I 该 恶 意 软 件 的 作 者 编 写 了 许 多 功 能 ， 可 以 从 受 害 者 的 计 算 机 中 窃 取 凭 据 。 有 一 个 数 组 用 于 存 储 函 数 指 针 。 图 5 显 示 了 部 分 函 数 指 针 。
图 5 . 具 有 函 数 指 针 的 数 组 您 可 能 已 经 注 意 到 ， 我 在 每 个 功 能 后 面 添 加 了 注 释 ， 以 向 您 显 示 它 从 哪 个 软 件 窃 取 凭 据 。 该 恶 意 软 件 循 环 地 调 用 这 些 功 能 。 以 下 是 其 凭 证 可 能 被 盗 的 大 多 数 软 件 的 列 表 。 浏 览 器 软 件 ： 浏 览 器 软 件 ： M o z i l l a   F i r e f o x ， I c e D r a g o n ， S a f a r i ， K - M e l e o n ， M o z i l l a   S e a M o n k e y ， M o z i l l a   F l o c k ， N E T G A T E   B l a c k   H a w k ， L u n a s c a p e ， C o m o d o D r a g o n ， O p e r a   N e x t ， Q t W e b ， Q u p Z i l l a ， I n t e r n e t   E x p l o r e r ， O p e r a ， 8 p e c x s t u d i o s ， M o z i l l a   P a l e   M o o n ， M o z i l l a   W a t e r f o x 。 F T P 软 件 ： 软 件 ： F T P S h e l l ， N p p F T P ， o Z o n e 3 D   M y F T P ， F T P B o x ， s h e r r o d   F T P ， F T P   N o w ， N e t S a r a n g x f t p ， E a s y F T P ， S f t p N e t D r i v e ， A b l e F T P ， J a S F t p ， A u t o m i z e ， C y b e r d u c k ， F T P I n f o ， L i n a s F T P ， F i l e Z i l l a ， S t a f f - F T P ， B l a z e F t p ， F T P G e t t e r ， W S F T P ， G o F T P ， E s t s o f t   A L F T P   ， D e l u x e F T P ， F a s t r e a m
N E T F i l e ， E x p a n D r i v e ， S t e e d ， F l a s h F X P ， N o v a F T P ， N e t D r i v e ， S m a r t F T P ， U l t r a F X P ， F T P   N o w ， F r e s h F T P ， B i t K i n e x ， O d i n S e c u r e   F T P   E x p e r t ， N C H   S o f t w a r e   F l i n g ， N C H   S o f t w a r e   C l a s s i c F T P ， W i n F t p   C l i e n t ， W i n S C P ， 3 2 B i t F t p ， F T P   N a v i g a t o r 。 游 戏 软 件 ： 游 戏 软 件 ： F u l l   T i l t 扑 克 ， P o k e r S t a r s 。 文 件 管 理 器 软 件 ： 文 件 管 理 器 软 件 ： N e x u s F i l e ， F u l l S y n c ， F A R 管 理 器 ， S y n c o v e r y ， V a n D y k e   S e c u r e F X ， M i k r o t i k   W i n b o x 。 S S H   /   V N C 客 户 端 软 件 ： 客 户 端 软 件 ： S u p e r P u t t y ， B i t v i s e   B v S s h C l i e n t ， V N C ， K i T T Y 。 密 码 管 理 器 软 件 ： 密 码 管 理 器 软 件 ： m S e c u r e ， K e e P a s s ， E n P a s s ， R o b o F o r m ， 1 P a s s w o r d 。 电 子 邮 件 客 户 端 软 件 ： 电 子 邮 件 客 户 端 软 件 ： M o z i l l a   T h u n d e r b i r d ， f o x m a i l ， P o c o m a i l ， I n c r e d i M a i l ， G m a i l   N o t i f i e r   P r o ， D e s k S o f t   C h e c k M a i l ， S o f t w a r e n e t z   M a i l i n g ， O p e r a M a i l ， P o s t b o x   e m a i l ， M o z i l l a   F o s s a M a i l ， I n t e r n e t   M a i l ， M S   O f f i c e   O u t l o o k ， W i n C h i p s ， y M a i l 2 ， F l a s k a . n e t   T r o j i t a ， T r u l y M a i l 。 N o t e s   /   T o d o 列 表 软 件 ： 列 表 软 件 ： 待 办 事 项 D e s k L i s t ， S t i c k i e s ， N o t e F l y ， C o n c e p t w o r l d   N o t e z i l l a ， M i c r o s o f t   S t i c k y N o t e s 。 窃 取 窃 取 M i c r o s o f t   O u t l o o k 凭 据 和 便 利 贴 凭 据 和 便 利 贴 通 过 上 面 的 分 析 ， 很 明 显 ， 这 个 新 的 L o k i 变 种 能 够 从 1 0 0 多 种 不 同 的 软 件 工 具 （ 如 果 已 安 装 ） 中 窃 取 凭 据 。 在 本 节 中 ， 我 们 将 介 绍 它 如 何 窃 取 M i c r o s o f t   O u t l o o k 的 凭 据 以 及 来 自 胶 粘 物 。 为 此 ， 它 通 过 系 统 注 册 表 中 的 三 个 子 项 （ 用 于 三 个 不 同 的 版 本 ） 来 获 取 已 保 存 的 电 子 邮 件 帐 户 ， 电 子 邮 件 地 址 ， 用 户 名 ， 密 码 ， S M T P ， P O P 3 ， I M A P 相 关 信 息 ， 等 等 。 这 三 个 子 项 是 ：
图 6 .   M i c r o s o f t   O u t l o o k 将 凭 据 保 存 在 注 册 表 中 图 7 . 复 制 子 项 “   P O P 3 密 码 ” 在 上 图 中 ， 您 可 以 看 到 的 是 我 的 测 试 环 境 的 系 统 注 册 表 中 的 O u t l o o k 凭 据 。 该 恶 意 软 件 可 以 通 过 调 用 A P I “ S H Q u e r y V a l u e E x W ” 从 此 处 读 取 它 们 。 所 有 窃 取 的 信 息 都 存 储 在 全 局 缓 冲 区 中 。 参 见 图 8 。
图 8 . 全 局 缓 冲 区 中 的 O u t l o o k 凭 证 被 盗 对 于 S t i c k i e s 攻 击 ， 由 于 我 没 有 安 装 该 软 件 ， 所 以 我 只 修 改 了 测 试 机 以 模 拟 它 已 安 装 。 开 始 了 。 图 9 显 示 了 S t i c k i e s 的 部 分 代 码 。 它 获 取 使 用 前 动 态 创 建 的 字 符 串 “   *   . p n g ” ， “   * 。 r t f ” ， “ ％ s     s t i c k i e s     i m a g e s ” 。 该 恶 意 软 件 从 多 个 系 统 目 录 （ 例 如 ， ％ A p p D a t a ％ ， ％ U s e r P r o f i l e ％ ） 的 子 文 件 夹 “     s t i c k i e s     i m a g e s ” 和 “     s t i c k i e s     r t f ” 中 窃 取 p n g 和 r t f 文 件 。 图 9 .   S t i c k i e s 的 代 码 片 段 我 创 建 了 一 个 子 文 件 夹 “ ％ A p p D a t a ％   s t i c k i e s     i m a g e s ” ， 并 将 一 个 . p n g 文 件 放 入 其 中 。 L o k i 将 p n g 文 件 读 入 O u t l o o k 数 据 后 面 的 全 局 缓 冲 区 。 它 还 从 受 害 者 的 计 算 机 中 收 集 系 统 信 息 ， 例 如 计 算 机 名 称 ， 用 户 名 ， 处 理 器 属 性 等 。 所 有 收 集 的 信 息 准 备 就 绪 后 ， 它 将 使 用 H T T P   P O S T 请 求 将 它 们 发 送 到 其 C ＆ C 服 务 器 ， 该 请 求 的 主 体 是 数 据 从 受 害 者 的 机 器 上 被 盗 。 并 且 数 据 以 一 种 压 缩 格 式 传 递 。 图 1 0 显 示 了 W i r e S h a r k 中 数 据 包 的 屏 幕 截 图 。
图 1 0 . 将 从 O u t l o o k 和 S t i c k i e s 窃 取 的 数 据 发 送 到 C ＆ C 服 务 器 解 解 F o r t i G u a r d   W e b f i l t e r 服 务 已 将 U R L “   1 9 4 . 8 8 . 1 0 5 . 2 0 2 / ~ n i n j a g r o / p d f s / Q U O T A T I O N . e x e ” 评 级 为 “   恶 意 网 站 ” ， 将 “   o n l i n e - p r o d a j a . r s / t z / P a n e l / f i v e / f r e . p h p ”   评 级 为 “   网 络 钓 鱼   ”   。 F o r t i G u a r d 防 病 毒 服 务 已 将 下 载 的 e x e 文 件 检 测 为 W 3 2   /   I n j e c t o r . D O N O ！ t r ， 并 将 P D F 文 件 检 测 为 D a t a   /   L o k i _ P h i s h . A ！ t r 。 I o C 网 址 ： 网 址 ： “   1 9 4 . 8 8 . 1 0 5 . 2 0 2 / ~ n i n j a g r o / p d f s / Q U O T A T I O N . e x e ” “   o n l i n e - p r o d a j a . r s / t z / P a n e l / f i v e / f r e . p h p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理