搜索

[8024] 2014-05-15_0day星期三——新型恶意软件遭遇战

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-05-15_0day星期三——新型恶意软件遭遇战 0 d a y 星 期 三 — — 新 型 恶 意 软 件 遭 遇 战 I D F _ L a b   F r e e B u f   2 0 1 4 - 0 5 - 1 5 ​ ​ ​ 原 文 ： 原 文 ： h t t p : / / w w w . g i r o n s e c . c o m / b l o g / 2 0 1 3 / 1 2 / 0 d a y - w e d n e s d a y - n e w i s h - m a l w a r e - t h a t - c a m e - a c r o s s - m y - d e s k / 翻 译 ： 翻 译 ： 徐 文 博 可 能 有 人 会 说 这 标 题 很 疯 狂 ， 但 我 把 它 称 之 为 “ 星 期 三 ” 。 这 款 较 为 新 颖 的 恶 意 软 件 是 我 昨 天 遇 到 的 ， 今 天 就 被 我 搞 定 了 。 它 是 一 个 老 的 2 0 1 2   C V E 的 j a v a 攻 击 包 （ 可 能 针 对 S e c u r i t y M a n a g e r ） 的 负 载 。 压 缩 与 解 压 缩 的 在 V i r u s T o t a l / M a l w r 上 都 没 有 查 到 ， 所 以 这 又 是 一 个 0 d a y 啊 。 利 用 I D A 进 行 初 步 检 测 ， 报 出 一 个 错 误 ： 估 计 制 作 这 家 伙 的 兄 弟 也 知 道 ,   迟 早 某 一 天 它 会 被 像 我 这 样 的 人 拿 来 瞅 瞅 的 。 确 实 有 许 多 的 修 改 可 以 用 来 搅 乱 反 汇 编 结 果 ， 而 丝 毫 不 影 响 W i n d o w s 上 的 运 行 。 用 C F F   E x p l o r e r 来 看 看 ， 发 现 N T 头 部 的 一 个 错 误 在 “ D a t a   D i r e c t o r i e s ” 的 “ D e l a y   I m p o r t   D i r e c t o r y   R V A ” 项 中 。 C F F 很 好 的 为 我 们 指 出 0 × 0 0 0 0 0 0 4 0 值 是 错 的 。 将 其 清 零 就 可 以 解 决 此 问 题 。
保 存 修 改 的 e x e , 在 I D A 中 重 新 打 开 ， 之 前 的 错 误 提 示 就 消 失 了 ， 一 切 正 常 。 在 I D A 里 简 单 的 过 一 眼 就 可 以 知 道 这 是 一 个 M F C 程 序 。 我 咋 知 道 的 呢 ？ 在 导 入 表 的 L i b r a r y 字 段 很 清 晰 的 表 明 了 。 当 然 了 ， 该 程 序 被 压 缩 了 。 没 有 节 表 修 改 ， 典 型 的 内 存 压 缩 。
这 就 意 味 着 静 态 的 分 析 不 再 有 效 ， 我 们 需 要 动 态 分 析 来 获 得 更 多 的 信 息 。 来 吧 ， 操 起 I m m u n i t y 。 在 开 始 i m m u n i t y 和 虚 拟 机 之 前 ， e x e 文 件 里 有 些 有 趣 的 东 西 ， 没 有 很 明 显 的 在 I D A 里 出 现 ， 但 在 C F F   e x p l o r e r 里 我 们 可 以 看 到 。 首 先 ， 有 几 个 隐 藏 在 资 源 目 录 的 文 件 凸 显 出 来 。 第 一 个 是 P N G 文 件 。 然 后 是 一 个 h t m l 文 件 。
在 I f r a n V i e w （ 最 好 的 图 像 查 看 器 ） 里 浏 览 下 该 P N G 文 件 ， 仅 显 示 了 一 个 很 小 的 黑 图 片 ， 这 显 然 不 足 5 5 k b 大 小 。 所 以 ， 里 面 肯 定 隐 藏 了 点 啥 。 呆 会 再 来 收 拾 它 。 来 吧 ， 到 你 了 , h t m l 文 件 。 用 n o t e p a d + + 加 载 清 理 ， 可 以 看 到 一 些 浏 览 器 检 测 代 码 ：
为 啥 这 里 仅 是 简 单 的 放 在 了 资 源 节 表 里 ， 而 不 同 其 他 代 码 一 起 压 缩 处 理 ？ 真 是 个 谜 啊 。 先 在 脑 海 中 记 着 这 些 资 源 节 表 ， 稍 后 处 理 。 现 在 回 头 来 解 压 这 家 伙 。 首 先 开 启 I m m u n i t y 调 试 器 和 V i r t u a l B o x ， 加 载 我 们 的 a n t i - a n t i - d e b u g   p y t h o n 插 件 。 现 在 将 这 货 运 行 起 来 ， 待 其 完 全 运 行 之 后 检 测 内 存 。
可 以 看 到 有 些 内 存 区 间 被 标 记 为 可 读 可 写 可 执 行 （ R W E ) ， 分 别 在 0 0 9 1 0 0 0 0 ， 0 0 9 3 0 0 0 0 ， 0 0 9 4 0 0 0 0 和 0 0 9 7 0 0 0 0 。 检 测 一 番 ， 发 现 4 个 当 中 仅 有 3 个 包 含 着 代 码 。 该 程 序 仍 然 有 3 个 隐 藏 的 代 码 ？ 太 酷 了 吧 。 现 在 我 们 要 从 内 存 中 导 出 程 序 到 文 件 里 ， 便 于 后 续 的 分 析 。 使 出 O l l y D u m p E x ， 填 入 0 0 9 0 区 间 ， 可 看 到 0 0 9 1 0 0 0 0 和 0 0 9 7 0 0 0 0 的 程 序 同 原 始 的 程 序 在 大 小 、 节 表 和 属 性 上 都 匹 配 。 而 0 0 9 5 0 0 0 0 处 的 内 存 与 其 他 的 不 同 ： 有 不 同 的 节 表 ， 不 同 的 大 小 。 一 定 是 隐 藏 着 彩 蛋 啊 。
利 用 ‘ B i n a r y ( R a w ) ’ 模 式 而 不 是 重 新 构 建 模 式 导 出 e x e 文 件 ， 这 样 可 以 保 证 导 出 的 数 据 的 完 整 性 。 2 个 无 用 的 节 表 表 明 程 序 被 U P X 进 行 压 缩 了 。 运 行 u p x 工 具 确 认 了 这 一 点 。 意 味 着 我 们 可 以 砸 出 彩 蛋 了 。
新 的 e x e 文 件 正 确 的 解 压 后 多 出 了 4 0 K B ， 现 在 我 们 终 于 可 以 在 I D A 里 瞅 瞅 了 。 看 下 s t r i n g s ， 有 些 有 趣 的 信 息 ： 这 是 啥 ？ H T T P 请 求 信 息 。 看 起 来 这 货 使 用 P O S T 请 求 回 传 数 据 啊 。 你 可 能 会 问 C & C 服 务 器 在 哪 呢 ？ 似 乎 不 在 程 序 的 明 文 里 。 还 记 得 前 面 提 到 的 资 源 节 表 吗 ？ 再 来 看 看 彩 蛋 的 资 源 节 表 吧 。
瞧 ， h t t p : / / 3 1 . 2 0 7 . 6 . 1 6 1 。 作 者 就 这 样 将 其 放 在 明 文 里 ， 让 我 们 捡 了 个 大 便 宜 。 想 通 过 隐 匿 来 获 取 安 全 ， 没 门 。 我 知 道 你 在 想 啥 ， 主 程 序 运 行 起 来 是 啥 样 呢 ？ 就 让 我 们 来 看 看 吧 ： 一 运 行 起 来 ， 就 自 动 的 关 闭 了 我 的 p r o c e s s   e x p l o r e r ， 我 要 运 行 任 务 管 理 器 都 会 被 一 闪 而 过 的 消 息 窗 提 醒 “ 任 务 管 理 器 已 经 被 管 理 员 禁 用 ” 。   我 也 很 想 展 示 下 截 屏 ， 但 我 动 作 实 在 没 它 那 么 迅 速 。 动 用 I m m u n i t y 打 开 ， 发 现 原 始 的 “ g o l d e n _ e g g . e x e ” 不 再 运 行 。 另 一 个 名 为 “ z p N v N K S i . e x e ” 的 程 序 从 临 时 文 件 夹 运 行 起 来 了 。 根 据 h a s h 比 较 ， 其 实 是 同 一 个 程 序 ：
喜 欢 我 的 哈 希 程 序 吗 ？ 到 这 下 载 吧 。 h t t p : / / g i r o n s e c . c o m / c o d e / M D 5 % 2 0 H a s h e r . 7 z 广 告 时 间 结 束 了 。 现 在 很 清 楚 该 程 序 做 啥 了 — — 禁 用 任 务 管 理 器 ， 终 止 不 受 欢 迎 的 程 序 ， 从 临 时 文 件 夹 运 行 。 检 查 m s c o n f i g 发 现 添 加 了 2 个 自 启 动 文 件 。 我 对 它 们 都 进 行 了 检 查 ， 确 认 正 是 原 始 程 序 的 完 全 拷 贝 。 将 程 序 附 加 到 i m m u n i t y ， 检 测 程 序 内 存 和 线 程 数 目 ( “ t ” 键 ） ， 显 示 出 该 程 序 是 多 线 程 的 。 我 数 了 下 ， 1 2 个 线 程 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理