搜索

[28567] 2020-09-09_什么是Lokibot恶意软件？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-09-09_什么是Lokibot恶意软件？ 什 么 是 L o k i b o t 恶 意 软 件 ？ a n y . r u n   O t s 安 全   2 0 2 0 - 0 9 - 0 9 什 么 是 什 么 是 L o k i b o t 恶 意 软 件 ？ 恶 意 软 件 ？ L o k i b o t ， 也 称 为 L o k i - b o t 或 L o k i   b o t ， 是 一 种 信 息 窃 取 恶 意 软 件 ， 可 从 最 广 泛 使 用 的 W e b 浏 览 器 ， F T P ， 电 子 邮 件 客 户 端 以 及 被 感 染 计 算 机 上 安 装 的 一 百 多 种 软 件 工 具 收 集 数 据 。 它 是 在 前 苏 联 国 家 之 一 开 发 的 。 它 是 由 创 作 者 发 布 的 销 售 公 告 于 2 0 1 5 年 5 月 3 日 首 次 发 现 的 ， 该 恶 意 软 件 至 今 仍 处 于 活 动 状 态 。 L o k i b o t 的 一 般 描 述 的 一 般 描 述 L o k i b o t 间 谍 软 件 的 最 初 版 本 最 初 是 由 称 为 “   l o k i s t o v ” 或 “   C a r t e r ” 的 黑 客 创 建 和 出 售 的 ， 最 初 售 价 高 达 4 0 0 美 元 。 但 是 ， 不 久 之 后 ， 几 乎 完 全 相 同 的 恶 意 软 件 开 始 出 现 在 黑 客 论 坛 上 ， 许 多 卖 家 的 价 格 仅 为 8 0 美 元 。 据 认 为 ， “   l o k i s t o v ” 本 人 已 被 黑 客 入 侵 ， 该 病 毒 的 源 代 码 也 被 泄 露 ， 从 而 使 其 他 人 能 够 制 造 和 出 售 极 其 相 似 的 恶 意 软 件 。 奇 怪 的 是 ， 研 究 人 员 随 后 发 现 ， 该 病 毒 的 第 一 版 被 某 人 修 补 ， 而 没 有 访 问 源 代 码 ， 这 使 黑 客 社 区 能 够 设 置 一 系 列 用 于 接 收 检 索 到 的 数 据 的 单 个 域 。 即 使 今 天 存 在 该 病 毒 的 多 个 版 本 ， 但 发 现 它 们 实 际 上 都 是 对 原 始 恶 意 软 件 的 修 改 。 有 趣 的 是 ， L o k i b o t 窃 取 程 序 向 其 发 送 数 据 的 服 务 器 对 于 每 个 特 定 的 恶 意 软 件 样 本 都 是 唯 一 的 。 L o k i b o t 恶 意 软 件 分 析 恶 意 软 件 分 析 一 个 视 频 显 示 由 A N Y . R U N 互 动 恶 意 软 件 狩 猎 服 务 创 建 的 污 染 过 程 的 模 拟 提 供 了 绝 好 的 机 会 ， 看 看 如 何 污 染 过 程 中 被 感 染 的 计 算 机 上 展 开 。 如 模 拟 所 示 ， L o k i b o t 需 要 打 开 电 子 邮 件 附 件 ， 例 如 M i c r o s o f t   O f f i c e 文 件 或 存 档 文 件 ， 才 能 进 入 活 动 阶 段 。 图 1 ： 由 A N Y . R U N 恶 意 软 件 搜 索 服 务 生 成 的 流 程 图 恶 意 软 件 的 生 命 周 期 可 以 分 为 以 下 几 个 阶 段 ：
污 染 。 受 害 者 下 载 了 受 感 染 的 存 档 文 件 或 M i c r o s o f t   O f f i c e 文 件 ， 最 终 下 载 了 恶 意 软 件 ； 最 初 打 包 时 ， K e y l o g g e r 会 自 行 解 包 并 开 始 执 行 主 要 有 效 内 容 ； 该 病 毒 为 它 针 对 的 每 个 应 用 程 序 创 建 唯 一 的 循 环 功 能 ， 并 将 检 索 到 的 数 据 保 存 到 缓 冲 区 中 。 然 后 ， 修 改 注 册 表 项 ， 并 将 特 洛 伊 木 马 程 序 专 门 复 制 到 ％ A P P D A T A ％ 文 件 夹 下 具 有 特 定 名 称 唯 一 名 称 的 文 件 夹 。 这 可 以 使 病 毒 建 立 持 久 性 。 M a c h i n e G u i d   M D 5 用 于 生 成 名 称 ， 该 名 称 也 可 用 作 M u t e x 和 b o t - i d 。 作 为 此 步 骤 的 最 后 一 步 ， 病 毒 会 生 成 一 个 注 册 表 项 ， 该 注 册 表 项 指 向 它 之 前 复 制 的 文 件 ， 该 文 件 指 向 ％ A P P D A T A ％ 文 件 夹 内 的 特 定 文 件 夹 ； 然 后 ， 根 据 当 前 用 户 是 否 有 特 权 ， 病 毒 会 在 H K E Y _ L O C A L _ M A C H I N E 或 K E Y _ C U R R E N T _ U S E R 下 设 置 持 久 性 ； 接 下 来 ， 将 常 规 系 统 信 息 发 送 到 C ＆ C 服 务 器 ； 为 了 保 持 持 久 性 ， 按 键 记 录 程 序 然 后 对 U R L 和 注 册 表 项 应 用 三 重 D E S 加 密 ； 此 后 ， 病 毒 开 始 等 待 来 自 C ＆ C 的 命 令 ， 并 创 建 一 个 新 线 程 来 检 测 C ＆ C 响 应 。 如 何 避 免 如 何 避 免 L o k i b o t 感 染 ？ 感 染 ？ 由 于 L o k i b o t 间 谍 软 件 需 要 激 活 宏 才 能 感 染 系 统 ， 因 此 攻 击 者 将 尽 其 所 能 使 受 害 者 启 用 它 们 。 因 此 ， 保 持 宏 关 闭 是 保 护 免 受 特 洛 伊 木 马 攻 击 的 最 佳 选 择 。 特 别 是 ， 当 从 可 疑 来 源 下 载 的 文 档 或 未 知 电 子 邮 件 地 址 提 示 启 用 宏 时 ， 应 格 外 小 心 。 此 外 ， 拥 有 可 信 赖 的 开 发 人 员 的 防 病 毒 软 件 并 始 终 对 其 进 行 更 新 是 降 低 成 为 恶 意 软 件 受 害 者 的 可 能 性 的 一 种 好 方 法 。 另 一 个 好 的 常 用 做 法 是 ， 在 打 开 附 件 或 单 击 来 自 不 明 来 源 的 电 子 邮 件 中 的 链 接 时 ， 要 格 外 注 意 。 L o k i b o t 的 发 行 的 发 行 L o k i b o t 窃 取 程 序 主 要 通 过 垃 圾 邮 件 活 动 进 行 分 发 ， 提 示 用 户 下 载 附 加 的 受 感 染 文 件 。 特 别 是 ， 三 种 最 常 用 的 文 件 类 型 是 配 置 为 开 始 恶 意 软 件 下 载 和 安 装 过 程 的 M i c r o s o f t   O f f i c e 文 档 ， 包 含 L o k i - B o t 可 执 行 文 件 的 存 档 文 件 或 还 包 含 L o k i - B o t 可 执 行 文 件 的 I S O 文 件 。 L o k i b o t 执 行 流 程 执 行 流 程 在 A N Y . R U N 恶 意 软 件 狩 猎 服 务 上 进 行 的 交 互 式 沙 箱 模 拟 ， 使 我 们 可 以 更 仔 细 地 了 解 在 被 污 染 的 M i c r o s o f t   O f f i c e 文 件 是 感 染 源 的 情 况 下 ， L o k i b o t 的 执 行 过 程 如 何 展 开 。 模 拟 从 打 开 M i c r o s o f t   O f f i c e 文 件 开 始 。 立 即 ， 使 用 启 用 宏 执 行 W I N W O R D . E X E 。 然 后 ， 通 过 利 用 C V E - 2 0 1 7 - 1 1 8 8 2 漏 洞 ， M i c r o s o f t   O f f i c e   E q u a t i o n   E d i t o r 继 续 下 载 恶 意 可 执 行 文 件 ； 最 终 ， 一 个 恶 意 的 可 执 行 文 件 将 自 己 运 行 ， 然 后 继 续 窃 取 个 人 数 据 并 连 接 到 C ＆ C 服 务 器 。
图 2 ： 说 明 了 由 A N Y . R U N 仿 真 显 示 的 L o k i b o t 的 执 行 过 程 图 3 ： 由 A N Y . R U N 创 建 的 文 本 报 告 该 病 毒 在 其 执 行 过 程 中 会 生 成 多 个 工 件 。 特 别 是 ， 可 以 在 任 何 时 间 点 将 四 种 类 型 的 文 件 同 时 存 储 在 秘 密 ％ A P P D A T A ％ 目 录 中 。 这 些 文 件 可 以 具 有 “   . e x e ” ， “ 。 l c k ” ， “ 。 h d b ” 或 “   . k d b ” 。 扩 展 名 和 每 种 文 件 类 型 均 用 于 特 定 目 的 ： . e x e 文 件 包 含 木 马 程 序 的 可 执 行 副 本 ， 该 副 本 在 用 户 登 录 帐 户 时 触 发 ， 生 成 . l c k 文 件 是 为 了 防 止 在 解 密 W i n d o w s 凭 据 或 键 盘 记 录 时 发 生 资 源 冲 突 ， . h d b 文 件 用 于 存 储 已 传 输 到 C ＆ C 服 务 器 的 所 有 数 据 样 本 的 哈 希 . k d b 文 件 又 用 于 保 存 有 关 尚 未 发 送 到 服 务 器 的 数 据 的 信 息 键 盘 记 录 器 使 用 以 下 算 法 来 命 名 文 件 ： 1 .   首 先 ， L o k i b o t 从 注 册 表 分 支 H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E     M i c r o s o f t     C r y p t o g r a p h y 中 获 取 M a c h i n e G u i d 的 值 。 在 我 们 的 模 拟 情 况 下 ， 它 设 置 为 d c 5 1 3 1 b 5 - 5 f b c - 4 f 8 5 - b 1 e d - 2 8 d 4 3 9 2 0 8 0 c a 。
2 . 然 后 ， 该 病 毒 使 用 M D 5 算 法 计 算 M a c h i n e G u i d 的 哈 希 总 和 ， 在 我 们 的 情 况 下 ， 该 哈 希 总 和 为 c 8 3 b a 0 a a 2 8 2 a 9 6 6 2 6 3 d d a 5 6 0 0 5 2 b 3 c a f 。 3 . 最 后 ， 将 所 得 哈 希 量 的 第 8 到 第 1 3 个 字 符 用 作 子 目 录 的 名 称 ， 并 将 第 1 3 到 第 1 8 个 字 符 作 为 文 件 名 。 与 与 C ＆ ＆ C 的 沟 通 的 沟 通 为 了 与 C ＆ C 服 务 器 通 信 ， 该 病 毒 的 修 补 版 本 （ 也 是 最 广 泛 传 播 的 病 毒 ） 会 发 送 “   c k a v . r u ” 字 符 串 。 有 趣 的 是 ， 发 送 的 数 据 也 是 “   f u c k a v . r u ” 的 子 字 符 串 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理