搜索

[28625] 2020-10-06_MicrosoftExcel中的数百个URL传播了新的Dridex木马变种

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-10-06_MicrosoftExcel中的数百个URL传播了新的Dridex木马变种 M i c r o s o f t   E x c e l 中 的 数 百 个 U R L 传 播 了 新 的 D r i d e x 木 马 变 种 F o r t i G u a r d   O t s 安 全   2 0 2 0 - 1 0 - 0 6 受 影 响 的 平 台 ： M i c r o s o f t   W i n d o w s 受 影 响 的 各 方 ： W i n d o w s 用 户 影 响 ： 从 受 害 者 的 计 算 机 收 集 敏 感 信 息 严 重 级 别 ： 严 重 就 在 几 天 前 ， F o r t i G u a r d   L a b s 捕 获 了 一 个 网 络 钓 鱼 活 动 ， 其 中 以 电 子 邮 件 附 件 形 式 发 送 的 恶 意 M i c r o s o f t   E x c e l 文 档 正 在 传 播 D r i d e x 的 新 变 体 。 D r i d e x 是 一 种 特 洛 伊 木 马 恶 意 软 件 ， 也 称 为 B u g a t 和 C r i d e x ， 它 能 够 从 受 感 染 的 计 算 机 中 窃 取 受 害 者 的 网 上 银 行 和 系 统 信 息 。 我 对 E x c e l 文 档 以 及 恶 意 宏 在 E x c e l 文 档 中 下 载 的 D r i d e x 有 效 负 载 文 件 进 行 了 深 入 分 析 。 在 这 篇 文 章 中 ， 我 提 供 以 下 信 息 ： 宏 如 何 下 载 D r i d e x 有 效 负 载 ， D r i d e x 有 效 负 载 文 件 如 何 启 动 ， 其 用 于 执 行 反 分 析 的 技 术 ， 它 从 受 害 人 的 计 算 机 中 收 集 了 什 么 信 息 以 及 如 何 收 集 这 些 信 息 。 信 息 将 发 送 到 其 C 2 服 务 器 。   网 络 钓 鱼 活 动 包 括 带 有 数 百 个 下 载 网 络 钓 鱼 活 动 包 括 带 有 数 百 个 下 载 U R L 的 的 M i c r o s o f t   E x c e l 文 档 文 档 图 1 . 1 中 显 示 了 检 测 到 的 网 络 钓 鱼 活 动 中 包 含 的 网 络 钓 鱼 电 子 邮 件 ， 该 电 子 邮 件 是 在 我 的 本 地 电 子 邮 件 客 户 端 中 打 开 后 显 示 的 。 它 伪 装 成 带 有 伪 造 的 E x c e l 发 票 文 件 的 付 款 请 求 电 子 邮 件 。 如 果 受 害 者 双 击 附 件 ， M i c r o s o f t   O f f i c e   E x c e l 会 打 开 它 。  
图 1 . 1 。 网 络 钓 鱼 邮 件 内 容 除 了 附 件 之 外 ， 电 子 邮 件 正 文 中 还 包 含 超 链 接 。 单 击 它 会 下 载 相 同 的 E x c e l 文 件 。   如 图 1 . 2 所 示 ， M i c r o s o f t   E x c e l 显 示 带 有 安 全 警 告 消 息 的 黄 色 条 ， 这 意 味 着 打 开 的 文 件 包 含 有 风 险 的 活 动 内 容 ， 例 如 V B A 宏 。 但 是 ， 一 旦 受 害 者 点 击 “ 启 用 内 容 ” 按 钮 ， 危 险 内 容 就 会 被 加 载 ， 甚 至 自 动 执 行 。 E x c e l 文 档 故 意 在 文 件 中 显 示 模 糊 的 发 票 ， 以 驱 使 受 害 人 单 击 按 钮 以 更 清 楚 地 查 看 发 票 。 图 1 . 2 。 在 O f f i c e   E x c e l 流 程 中 打 开 附 件 根 据 我 的 分 析 ， 此 文 件 包 含 恶 意 宏 （ V B A 代 码 ） ， 可 以 通 过 两 种 方 式 执 行 该 宏 。 第 一 种 是 通 过 单 击 绿 色 的 “ 全 包 并 付 费 ” 按 钮 来 执 行 恶 意 的 V B A 代 码 。 另 一 种 方 法 是 ， 当 发 生 L a y o u t 事 件 时 ， 它 具 有 私 有 F o r m s a _ L a y o u t （ ） 函 数 来 处 理 执 行 恶 意 V B A 代 码 的 事 件 。 当 受 害 者 正 在 处 理 文 件 时 ， 此 类 布 局 事 件 会 发 生 很 多 次 。
图 1 . 3 。 打 开 受 保 护 的 V B A 项 目 时 弹 出 V B A 代 码 受 密 码 和 特 殊 属 性 的 保 护 。 用 户 尝 试 查 看 V B A 项 目 后 ， 它 将 弹 出 警 告 消 息 ， 如 图 1 . 3 所 示 。 修 改 其 二 进 制 文 件 可 以 跳 过 保 护 检 测 。 通 过 查 看 V B A 代 码 ， 我 发 现 它 能 够 解 码 并 运 行 一 段 动 态 V B A 代 码 ， 其 中 包 含 从 大 约 2 9 0 个 编 码 的 下 载 U R L 中 随 机 选 择 的 U R L 。 这 些 下 载 U R L 在 E x c e l 文 档 的 第 一 张 纸 中 进 行 了 编 码 和 隐 藏 （ 其 字 体 颜 色 设 置 为 白 色 ， 与 背 景 颜 色 相 同 ） 。 图 1 . 4 显 示 了 从 单 元 格 编 号 A 7 2 0 开 始 的 部 分 编 码 U R L 列 表 ， 其 中 将 其 字 体 颜 色 设 置 为 黑 色 。 图 1 . 4 。 数 百 个 编 码 的 下 载 U R L 有 一 个 名 为 p r i n t e r S a v e （ ） 的 工 作 函 数 ， 该 函 数 对 字 符 串 中 的 动 态 V B A 代 码 进 行 解 码 ， 然 后 在 A P I 函 数
E x e c u t e E x c e l 4 M a c r o （ ） 中 执 行 该 函 数 。 如 图 1 . 5 所 示 ， 在 调 用 r e p l （ ） 函 数 之 后 ， E x e c u t e E x c e l 4 M a c r o （ ） 接 收 到 一 个 字 符 串 参 数 ， 该 参 数 是 解 码 的 V B A 代 码 。 为 了 使 您 更 好 地 理 解 代 码 ， 我 在 “ 立 即 ” 子 窗 口 中 打 印 了 所 有 已 解 码 的 动 态 V B A 代 码 。 图 1 . 5 。 解 码 后 的 代 码 下 载 并 执 行 D r i d e x 有 效 负 载 如 果 您 熟 悉 V B A 代 码 ， 则 会 知 道 将 创 建 两 个 带 有 随 机 字 符 串 名 称 的 文 件 夹 （ “   J 1 f l j S f Q ” 和 “   Q V l u l s 2 ” ） 。 然 后 ， 它 将 2 9 0 个 U R L 中 的 一 个 “   h t t p s   [ ： ]   / /   u m e s k i n   [ 。 ]   c o m   /   4 i 1 s g z   [ 。 ]   p d f ” 下 载 到 本 地 文 件 “   b L A Z 6 J i ” 。 在 文 件 夹 “   C ：   J 1 f l j S f Q     Q V l u l s 2 ” 中 。 该 本 地 文 件 的 名 称 也 是 随 机 的 。 最 后 一 行 使 用 带 有 参 数 “   - s ” 的 进 程 “   r e g s v r 3 2 . e x e ” 启 动 下 载 的 文 件 。 下 载 的 文 件 是 D r i d e x 的 有 效 负 载 文 件 。 因 此 ， E x c e l 文 档 用 作 D r i d e x 下 载 器 。   在 在 R e g s v r 3 2 . e x e 中 解 压 缩 中 解 压 缩 D r i d e x 并 导 出 功 能 并 导 出 功 能 D r i d e x 在 r e g s v r 3 2 . e x e 进 程 中 执 行 ， 该 进 程 是 M i c r o s o f t   W i n d o w s 的 命 令 行 实 用 程 序 进 程 ， 用 于 在 操 作 系 统 注 册 表 中 注 册 和 注 销 D L L 和 A c t i v e X 控 件 。 下 载 的 D r i d e x 有 效 负 载 文 件 是 这 些 D L L 文 件 之 一 。 图 2 . 1 是 在 “   r e g s v r 3 2 . e x e ” 中 运 行 D r i d e x 的 进 程 树 的 屏 幕 截 图 。 图 2 . 1 。 在 r e g s r v 3 2 . e x e 中 运 行 D r i d e x 的 进 程 树 R e g s v r 3 2 . e x e 加 载 D r i d e x 有 效 负 载 文 件 并 调 用 其 D l l E n t r y P o i n t （ ） 函 数 以 执 行 初 始 化 工 作 。  
它 具 有 7 B 6 0 0 H 大 小 的 加 密 数 据 块 ， 包 括 数 据 和 代 码 。 将 其 解 密 并 提 取 到 新 创 建 的 内 存 缓 冲 区 中 。 然 后 ， 它 跳 转 到 解 密 的 代 码 ， 其 地 址 已 加 载 到 E A X 中 。 整 个 过 程 看 起 来 像 一 个 解 压 缩 过 程 。 图 2 . 2 显 示 了 将 要 跳 转 到 提 取 的 代 码 时 的 代 码 上 下 文 。 图 2 . 2 。 执 行 提 取 的 代 码 之 前 的 代 码 执 行 代 码 可 以 将 完 整 的 P E 文 件 （ 即 D r i d e x 核 心 模 块 ） 解 密 并 提 取 到 内 存 中 。 然 后 将 P E 文 件 部 署 到 可 执 行 空 间 中 。 该 过 程 就 像 W i n d o w s   O S 加 载 要 执 行 的 E X E 文 件 的 方 式 一 样 ， 包 括 但 不 限 于 将 部 分 复 制 到 相 对 虚 拟 地 址 （ R V A ） ， 加 载 导 入 的 A P I ， 调 整 重 定 位 数 据 等 等 。 完 成 上 述 所 有 工 作 后 ， 最 终 通 过 一 段 A S M 代 码 调 用 提 取 的 P E 的 E n t r y   P o i n t 函 数 ， 如 图 2 . 3 所 示 。 它 使 用 A S M 代 码 “   p u s h e d x ” 和 “   r e t n ” ， 此 处 类 似 于 “   j m p   e d x ” 。 图 2 . 3 。 跳 转 到 提 取 的 D r i d e x 核 心 模 块 的 入 口 点   经 过 上 述 两 次 解 压 缩 后 ， D r i d e x 核 心 模 块 现 已 退 出 。 遍 历 核 心 D r i d e x ， 您 会 发 现 其 中 有 两 个 导 出 函 数 – “   D l l E n t r y P o i n t （ ） ” 和 “   D l l R e g i s t e r S e r v e r （ ） ” 。 “   D l l E n t r y P o i n t （ ） ” 是 图 2 . 3 中 所 称 的 那 个 。     可 以 通 过 “   r e g s v r 3 2 . e x e ” 注 册 的 每 个 D L L 文 件 都 必 须 提 供 一 个 名 为 “   D l l R e g i s t e r S e r v e r （ ） ” 的 导 出 功 能 。 M S D N （ M i c r o s o f t 开 发 人 员 网 络 ） 说 ， 此 功 能 “ 指 示 进 程 内 服 务 器 为 此 服 务 器 模 块 中 支 持 的 所 有 类 创 建 其 注 册 表 项 。 ”
请 记 住 ， 我 们 仍 然 在 “   r e g s v r 3 2 . e x e ” 最 初 调 用 的 函 数 D l l E n t r y P o i n t （ ） 中 。 在 核 心 D r i d e x 的 E n t r y   P o i n t 函 数 中 ， 它 执 行 一 些 初 始 化 工 作 。 当 “   r e g s v r 3 2 . e x e ” 从 该 函 数 接 收 到 “   1 ” 时 ， 表 示 初 始 化 工 作 已 成 功 完 成 。 然 后 ， “   r e g s v r 3 2 . e x e ” 调 用 A P I G e t P r o c A d d r e s s （ ） 来 查 找 具 有 名 称 的 “   D l l R e g i s t e r S e r v e r （ ） ” 的 导 出 函 数 地 址 。 图 2 . 4 是 当 “   r e g s v r 3 2 . e x e ” 调 用 A P I G e t P r o c A d d r e s s （ ） 以 从 核 心 D r i d e x 获 取 导 出 函 数 “   D l l R e g i s t e r S e r v e r （ ） ” 时 截 取 的 屏 幕 截 图 。 图 2 . 4 。 “   r e g s v r 3 2 . e x e ” 调 用 G e t P r o c A d d r e s s （ ） 获 得 D l l R e g i s t e r S e r v e r （ ） D r i d e x 中 使 用 的 反 分 析 技 术 中 使 用 的 反 分 析 技 术 D r i d e x 开 发 人 员 将 其 所 有 恶 意 工 作 放 入 D l l R e g i s t e r S e r v e r （ ） 函 数 中 ， 该 函 数 可 以 视 为 其 他 正 常 进 程 的 M a i n （ ） 函 数 。 在 核 心 D r i d e x 中 观 察 到 许 多 反 分 析 技 术 ， 以 防 止 对 其 代 码 进 行 分 析 。 在 本 节 中 ， 我 将 介 绍 其 中 一 些 。 隐 藏 的 隐 藏 的 A P I   大 多 数 W i n d o w s   A P I 函 数 都 是 隐 藏 的 ， 在 调 用 之 前 将 对 其 进 行 检 索 。 这 给 静 态 分 析 带 来 了 更 多 困 难 。 一 个 函 数 （ 在 本 文 中 称 为 G e t A P I B y H a s h （ ） ） 通 过 其 哈 希 码 检 索 A P I 。 图 3 . 1 检 索 A P I   R e g E n u m K e y W （ ） 的 示 例 图 3 . 1 显 示 了 使 用 需 要 两 个 参 数 的 G e t A P I B y H a s h （ ） 检 索 A P I   R e g E n u m K e y W （ ） 的 示 例 。 第 一 个 是 名 为 “   A D V A P I 3 2 . D L L ” 的 模 块 的 X O R e d   C R C 3 2 码 的 哈 希 值 （ 6 8 E F D F 7 5 h ） （ 全 部 为 大 写 ） ， 常 数 为 6 A E C C 4 8 9 h 。 第 二 个 是 名 为 “   R e g E n u m K e y W ” 的 A P I 的 X O R e d   C R C 3 2 代 码 的 哈 希 值 （ 0 A 7 3 7 3 6 7 9 h ） ， 常 数 为 6 A E C C 4 8 9 h 。   在 这 种 情 况 下 ， “   R e g E n u m K e y W ” 的 C R C 3 2 码 为 C D D B F 2 F 0 H ， 将 其 与 常 数 6 A E C C 4 8 9 h 异 或 等 于 0 A 7 3 7 3 6 7 9 h 。
G e t A P I B y H a s h （ ） 枚 举 指 定 模 块 中 的 所 有 A P I ， 以 通 过 比 较 传 入 的 哈 希 码 参 数 来 发 现 A P I 。 匹 配 时 ， 它 将 以 E A X 返 回 A P I 地 址 。 字 符 串 已 加 密 字 符 串 已 加 密 整 个 核 心 D r i d e x 都 对 密 钥 字 符 串 进 行 了 加 密 。 因 此 ， 分 析 人 员 无 法 通 过 简 单 地 在 其 存 储 空 间 中 搜 索 键 字 符 串 来 找 到 其 行 为 。 就 像 隐 藏 的 A P I 一 样 ， 字 符 串 在 使 用 前 会 被 解 密 。 图 3 . 2 是 解 密 U n i c o d e 字 符 串 “   P O S T ” 的 示 例 。 函 数 8 1 3 B 0 0 是 具 有 三 个 参 数 的 解 密 函 数 。 E C X 是 要 解 密 的 字 符 串 的 索 引 （ “   G E T ” 为 0 ， “   P O S T ” 为 1 ） 。 8 2 9 6 D 0 指 向 加 密 字 符 串 的 缓 冲 区 。 图 3 . 2 解 密 “   P O S T ” 的 示 例 生 成 调 用 生 成 调 用 A P I 的 异 常 的 异 常 如 前 所 述 ， 该 恶 意 软 件 不 仅 具 有 隐 藏 的 A P I ， 而 且 在 调 用 这 些 隐 藏 的 A P I 时 还 会 使 用 技 巧 。 再 次 参 考 图 3 . 1 ， 它 的 底 部 有 A S M 代 码 “   i n t   3 ” ， 它 会 生 成 一 个 异 常 ， 代 码 为 8 0 0 0 0 0 0 3 （ B R E A K P O I N T 陷 阱 ） 。 它 中 断 执 行 并 等 待 直 到 异 常 被 处 理 。 D r i d e x 设 法 在 其 E n t r y   P o i n t 函 数 中 设 置 了 一 个 异 常 处 理 程 序 （ 像 T r y … C a t c h 块 这 样 的 本 地 函 数 ） 。 为 此 ， 它 调 用 A P I R t l A d d V e c t o r e d E x c e p t i o n H a n d l e r （ ） 以 将 本 地 函 数 添 加 为 异 常 处 理 程 序 。 这 样 ， 每 当 D r i d e x 导 致 任 何 异 常 时 ， 都 会 首 先 调 用 此 局 部 函 数 来 处 理 它 。   调 用 本 地 异 常 处 理 程 序 时 ， 在 参 数 中 它 是 一 个 数 据 _ E X C E P T I O N _ R E C O R D ， 该 数 据 包 含 异 常 信 息 和 具 有 异 常 处 所 有 寄 存 器 的 值 的 上 下 文 结 构 ， 其 中 E A X 寄 存 器 保 存 了 被 调 用 的 A P I 。 然 后 ， 它 将 E A X 值 压 入 堆 栈 并 修 改 其 他 寄 存 器 的 值 ， 例 如 E I P 和 E S P 。 在 函 数 的 末 尾 ， 它 返 回 0 F F F F F F F F h （ - 1 ） ， 代 表   E X C E P T I O N _ C O N T I N U E _ E X E C U T I O N ， 告 诉 系 统 使 用 修 改 后 的 值 还 原 整 个 寄 存 器 。 最 后 ， 它 从 异 常 行 的 下 一 行 开 始 运 行 该 过 程 ， 在 该 行 中 将 使 用 带 有 自 变 量 的 参 数 从 堆 栈 中 调 用 该 A P I ， 所 有 这 些 都 已 在 异 常 发 生 之 前 被 压 入 堆 栈 。 这 是 D r i d e x 如 何 使 用 异 常 调 用 A P I 的 完 整 机 制 。 图 3 . 3 显 示 了 本 地 异 常 处 理 程 序 功 能 。
图 3 . 3 本 地 异 常 处 理 程 序 功 能 的 视 图 除 此 之 外 ， 如 果 D r i d e x 由 执 行 单 步 跟 踪 的 调 试 器 附 加 ， 则 它 可 以 生 成 E X C E P T I O N _ S I N G L E _ S T E P 异 常 （ 代 码 8 0 0 0 0 0 0 4 ） 。 本 地 异 常 处 理 程 序 可 以 识 别 此 异 常 ， 并 修 改 寄 存 器 的 值 以 使 D r i d e x 崩 溃 ， 以 保 护 自 身 免 受 分 析 和 调 试 。   将 收 集 的 信 息 发 送 到 将 收 集 的 信 息 发 送 到 C 2 服 务 器 服 务 器 在 D l l R e g i s t e r S e r v e r （ ） 函 数 中 ， D r i d e x 从 受 害 者 的 计 算 机 收 集 信 息 ， 然 后 将 信 息 发 送 到 其 C 2 服 务 器 。 在 本 节 中 ， 我 将 解 释 D r i d e x 如 何 做 到 这 一 点 。 首 先 ， 它 获 取 受 害 者 的 用 户 名 和 完 整 的 计 算 机 名 。 然 后 ， 它 从 系 统 注 册 表 中 读 取 W i n d o w s 安 装 时 间 。 将 以 上 值 放 在 一 起 ， 并 用 它 们 制 成 M D 5 值 。 数 据 包 的 第 一 部 分 （ 2 F h 长 ） 由 数 据 长 度 + 计 算 机 名 称 +   M D 5 值 组 成 。 然 后 ， 它 将 通 过 调 用 A P I G e t V o l u m e I n f o r m a t i o n W （ ） 获 得 的 V o l u m e I n f o r m a t i o n 数 据 （ 2 0 h 长 的 十 六 进 制 值 ） 附 加 到 数 据 包 缓 冲 区 中 。 以 下 数 据 是 常 量 字 值 “   2 9   3 B ” 和 来 自 A P I   G e t V e r s i o n （ ） 的 组 合 系 统 版 本 的 双 字 。 “   1 8 F 8 C 8 4 4 h ” 是 附 加 到 分 组 的 分 组 I D 。 有 关 更 多 信 息 ， 请 参 考 图 4 . 2 。 D r i d e x 从 受 害 者 的 系 统 注 册 表 中 收 集 所 有 已 安 装 的 软 件 信 息 。 它 导 航 到 子 项 “   H K E Y _ L O C A L _ M A C H I N E     S O F T W A R E   M i c r o s o f t     W i n d o w s     C u r r e n t V e r s i o n     U n i n s t a l l ” ， 并 枚 举 所 有 子 项 ， 并 从 中 读 出 它 们 的 值 D i s p l a y N a m e 和 D i s p l a y V e r s i o n 。 在 “ 卸 载 ” 下 ， 具 有 所 有 已 安 装 的 软 件 注 册 表 信 息 ， 供 卸 载 时 使 用 。 例 如 ， 读 取 的 7 - Z i p 信 息 为 “   7 - Z i p   1 8 . 0 5 （ 1 8 . 0 5 ） ” ， 如 图 4 . 1 所 示 。
图 4 . 1 已 安 装 的 7 - Z i p 子 项 信 息 长 度 （ 以 网 络 字 节 顺 序 排 列 的 双 字 ） 和 整 个 收 集 的 软 件 信 息 将 被 附 加 到 数 据 包 中 。 数 据 包 的 最 后 一 部 分 来 自 受 害 者 的 系 统 环 境 变 量 。 为 此 ， D r i d e x 调 用 A P I   G e t E n v i r o n m e n t S t r i n g s W （ ） ， 该 A P I 返 回 指 向 包 含 环 境 变 量 的 内 存 块 的 指 针 。 然 后 将 它 们 格 式 化 并 在 收 集 到 的 软 件 信 息 之 后 附 加 到 数 据 包 中 。   图 4 . 2 显 示 了 数 据 包 的 轮 廓 ， 其 中 带 红 色 下 划 线 的 值 是 按 照 网 络 字 节 顺 序 排 列 的 数 据 长 度 ， 用 蓝 色 竖 线 分 隔 的 值 是 我 之 前 已 经 解 释 过 的 数 据 字 段 。
图 4 . 2 。 D r i d e x 从 我 的 测 试 机 收 集 数 据 整 个 收 集 的 数 据 将 使 用 R C 4 算 法 进 行 加 密 ， 以 在 传 输 过 程 中 对 其 进 行 保 护 。 这 意 味 着 最 终 的 数 据 包 将 以 整 个 密 文 数 据 的 d w o r d   C R C 3 2 值 开 头 ， 然 后 将 是 密 文 。 图 4 . 3 以 二 进 制 形 式 显 示 硬 编 码 的 C 2 服 务 器 I P 和 端 口 如 图 4 . 3 所 示 ， D r i d e x 的 这 种 变 体 具 有 四 个 以 二 进 制 形 式 进 行 硬 编 码 的 C 2 服 务 器 。 D r i d e x 重 复 向 他 们 发 送 最 终 数 据 包 ， 直 到 收 到 H T T P 状 态 为 “   2 0 0   O K ” 的 响 应 数 据 包 为 止 。 为 此 ， 它 将 调 用 以 下 A P I ： I n t e r n e t O p e n A （ ） ， I n t e r n e t C o n n e c t W （ ） ， H t t p O p e n R e q u e s t W （ ） ， H t t p S e n d R e q u e s t W （ ） 和 I n t e r n e t R e a d F i l e （ ） ， 所 有 这 些 均 由 G e t A P I B y H a s h （ ） 检 索 。 到 目 前 为 止 ， 我 们 还 没 有 收 到 来 自 那 些 C 2 服 务 器 的 “   2 0 0   O K ” 响 应 。 因 此 ， 我 们 不 知 道 此 D r i d e x 广 告 系 列 还 有 什 么 其 他 任 务 。 我 们 将 继 续 对 其 进 行 监 控 。 结 论 结 论 在 本 文 中 ， 您 了 解 了 此 D r i d e x 变 体 是 如 何 通 过 网 络 钓 鱼 电 子 邮 件 进 行 传 播 的 ， 以 及 其 所 附 E x c e l 文 档 中 的 恶 意 宏 是 如 何 从 数 百 个 U R L 中 下 载 D r i d e x 负 载 的 。 我 还 解 释 了 r e g s v r 3 2 . e x e 中 有 效 负 载 文 件 的 加 载 过 程 ， 以 及 D r i d e x 使 用 了 哪 些 技 术 来 保 护 自 己 免 受 分 析 。 最 后 ， 我 演 示 了 可 以 从 受 害 人 的 机 器 中 收 集 哪 些 信 息 ， 以 及 如 何 获 取 这 些 信 息 ， 以 及 如 何 处 理 数 据 并 将 其 发 送 到 其 C 2 服 务 器 。 F o r t i n e t 保 护 保 护 通 过 F o r t i G u a r d 的 W e b 过 滤 ， 防 病 毒 和 C D R （ 内 容 撤 防 和 重 建 ） 服 务 ， F o r t i n e t 客 户 已 经 受 到 D r i d e x 变 种 的 保 护 ， 如 下 所 示 ： 下 载 的 U R L 被 F o r t i G u a r d   W e b 过 滤 服 务 评 为 “ 恶 意 网 站 恶 意 网 站 ” 。 E x c e l 文 档 和 下 载 的 有 效 负 载 文 件 被 检 测 为 “   V B A   /   D r i d e x . T W Y ！ ！ t r   ” 和 “   W 3 2   /   D r i d e x . T W Y ！ ！ t r   ” ， 并 被 F o r t i G u a r d   A n t i V i r u s 服 务 阻 止 。 F o r t i M a i l 用 户 受 到 F o r t i G u a r d   A n t i V i r u s 的 保 护 ， 该 软 件 可 检 测 到 提 供 D r i d e x 的 原 始 E x c e l 文 档 ， 并 进 一 步 受 到 C D R 服 务 的 保 护 ， 该 服 务 可 用 于 消 除 O f f i c e 文 档 中 所 有 宏 的 威 胁 。 国 际 奥 委 会 ： 网 址 网 址 共 有 2 8 9 个 U R L ， 请 参 见 下 面 的 索 引 。   样 品 样 品 S H A - 2 5 6 [ E x c e l 文 件 ] 5 1 9 3 1 2 A 9 6 9 0 9 4 2 9 4 2 0 2 A 2 E B E 1 9 7 B B 4 C 5 6 3 B A 5 0 6 F F F B D 4 5 0 0 0 F 0 F 9 C C 2 9 2 3 6 9 5 C E [ D r i d e x 有 效 负 载 ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理