搜索

[8314] 2014-09-30_AutoIt木马又一发：暗藏神秘照片

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-09-30_AutoIt木马又一发：暗藏神秘照片 A u t o I t 木 马 又 一 发 ： 暗 藏 神 秘 照 片 逍 遥 子   F r e e B u f   2 0 1 4 - 0 9 - 3 0 A u t o I t 是 一 个 自 动 化 的 是 一 个 自 动 化 的 W i n d o w s 界 面 交 互 的 脚 本 语 言 ， 具 有 很 高 的 灵 活 性 和 较 低 的 学 习 曲 线 。 由 于 界 面 交 互 的 脚 本 语 言 ， 具 有 很 高 的 灵 活 性 和 较 低 的 学 习 曲 线 。 由 于 A u t o I t 解 释 器 本 身 解 释 器 本 身 属 于 合 法 程 序 ， 黑 客 可 以 把 恶 意 代 码 藏 在 脚 本 文 件 中 ， 从 而 灵 活 地 创 建 恶 意 软 件 ， 在 系 统 中 没 有 独 立 进 程 存 在 ， 从 属 于 合 法 程 序 ， 黑 客 可 以 把 恶 意 代 码 藏 在 脚 本 文 件 中 ， 从 而 灵 活 地 创 建 恶 意 软 件 ， 在 系 统 中 没 有 独 立 进 程 存 在 ， 从 而 延 长 其 存 活 周 期 。 而 延 长 其 存 活 周 期 。 以 下 是 一 个 从 国 外 流 传 进 来 的 A u t o I t 木 马 样 本 ， 代 表 着 此 类 木 马 家 族 典 型 的 攻 击 手 法 。 样 本 信 息 样 本 信 息 [ A u t o I t 3 . e x e ]   7 1 D 8 F 6 D 5 D C 3 5 5 1 7 2 7 5 B C 3 8 E B C C 8 1 5 F 9 F [ g o o g l e u p d a t e . a 3 x ]   E 5 8 C 5 E 3 F 4 6 1 0 8 9 C A 9 6 8 8 D 3 A C A 2 0 4 E A 7 0 A u t o I t 3 . e x e 是 A u t o I t 脚 本 解 释 器 ， 带 有 正 规 数 字 签 名 ： 真 正 的 病 毒 体 是 g o o g l e u p d a t e . a 3 x 执 行 时 依 靠 A u t o I t 3 . e x e 调 用 g o o g l e u p d a t e . a 3 x 脚 本 。 便 会 执 行 其 中 的 恶 意 代 码 如 ：
C : W i n d o w s s y s t e m 3 2 c m d . e x e   / c   s t a r t   s k y p e e a u t o i t 3 . e x e     a u t o i t 3 e x e c u t e s c r i p t     s k y p e e g o o g l e u p d a t e . a 3 x   e x p l o r e r   " % c d % "   &   e x i t 在 网 上 搜 索 C : G o o g l e   g o o g l e u p d a t e . a 3 x ， 可 以 找 到 不 少 中 招 反 馈 。 （ 此 木 马 脚 本 被 某 些 杀 毒 软 件 清 理 之 后 ， 没 有 清 理 干 净 残 留 文 件 ， 就 会 出 现 开 机 弹 出 这 个 错 误 框 的 现 象 ） 代 码 分 析 代 码 分 析 代 码 总 共 接 近 3 3 0 0 行 ， 前 1 3 0 0 行 左 右 像 是 复 制 了 一 个 通 用 代 码 。 里 面 有 大 量 的 常 量 的 声 明 ， 封 装 了 大 量 的 W i n A P I 和 G D I 函 数 ， 并 定 义 了 大 量 的 字 符 串 、 数 组 操 作 函 数 ， 甚 至 有 限 制 鼠 标 活 动 范 围 的 函 数 。 但 这 些 预 定 义 好 的 常 量 和 函 数 后 面 用 到 的 却 很 少 。 可 能 是 出 于 作 者 习 惯 ， 每 个 脚 本 都 要 带 上 这 段 通 用 代 码 方 便 随 时 调 用 。 中 间 1 5 8 2 行 是 在 拼 一 个 很 大 的 变 量 ， 内 容 是 用 b a s e 6 4 编 码 过 的
解 开 之 后 是 一 个 不 明 身 份 的 小 帅 哥 照 片 。 看 照 片 信 息 是 用 三 星 G a l a x y   S 4 手 机 （ G T - i 9 5 0 0 ） 拍 摄 的 ， 并 经 过 P S 处 理 ， 但 没 找 到 G P S 左 边 或 其 他 有 用 的 信 息 ， 无 法 推 断 这 人 是 谁 … … 并 且 病 毒 执 行 后 也 没 有 调 用 这 段 数 据 ， 完 全 是 一 段 垃 圾 数 据 。 只 有 最 后 的 4 0 0 行 是 真 正 的 病 毒 代 码 。 这 部 分 代 码 主 要 做 了 四 部 分 的 工 作 ： 一 、 检 查 自 身 运 行 环 境 二 、 创 建 开 机 自 启 动 三 、 感 染 全 部 磁 盘 四 、 驻 留 内 存 并 与 服 务 器 通 信 实 现 远 程 控 制 【 检 查 自 身 运 行 环 境 】 【 检 查 自 身 运 行 环 境 】 1 . 检 查 自 身 是 否 存 在 于 “ c : g o o g l e ” 目 录 下 ， 或 目 录 中 是 否 包 含 “ s k y p e e ” 字 样 ， 如 果 都 没 有 则 退 出 2 . 通 过 创 建 互 斥 量 “ g o o g l e u p d a t e ” 检 查 自 身 是 否 已 经 运 行 ， 如 果 已 经 运 行 则 退 出 ， 不 重 复 运 行 3 . 检 查 自 身 是 否 处 于 被 分 析 的 环 境 中 ， 如 果 认 定 自 己 处 于 被 分 析 的 环 境 则 退 出 。 检 查 逻 辑 如 下 表 （ 字 符 串 检 测 均 不 区 分 大 小 写 ） ：
4 . 检 查 自 身 是 否 在 “ c : g o o g l e ” 目 录 下 ， 若 不 在 ， 则 将 自 身 当 前 所 在 目 录 复 制 为 “ c : g o o g l e ” ， 同 时 将 目 录 设 置 为 只 读 / 系 统 / 隐 藏 属 性 ， 启 动 新 目 录 下 的 病 毒 脚 本 ， 并 退 出 自 身 。
【 创 建 开 机 自 启 动 】 【 创 建 开 机 自 启 动 】 手 法 比 较 常 规 ， 就 是 写 注 册 表 的 r u n 项 和 向 “ 启 动 ” 目 录 添 加 快 捷 方 式 ： 1 . 注 册 表 注 册 表 r u n 项 项 2 . 向 向 “ 启 动 启 动 ” 文 件 夹 写 入 快 捷 方 式 文 件 夹 写 入 快 捷 方 式 【 感 染 全 部 磁 盘 】 【 感 染 全 部 磁 盘 】 1 . 检 测 注 册 表 值 ， 设 置 为 不 显 示 系 统 S u p e r H i d d e n 的 文 件 ： 2 . 遍 历 本 地 磁 盘 ， 在 每 个 盘 符 下 作 如 下 操 作 ： a ) 在 当 前 盘 符 根 目 录 下 新 建 名 为 “ s k y p e e ” 的 目 录 。 并 将 a u t o i t 3 . e x e 和 病 毒 脚 本 复 制 到 该 目 录 下 。 并 将 该 目 录 属 性 设 置 为 “ 只 读 / 系 统 / 隐 藏 ” b ) 遍 历 当 前 盘 符 根 目 录 下 所 有 文 件 夹 ， 在 每 个 文 件 夹 下 ， 创 建 一 个 与 该 文 件 夹 同 名 的 快 捷 方 式 文 件 。 快 捷 方 式 指 向 a 步 骤 中 创 建 的 病 毒 。 并 将 快 捷 方 式 图 标 设 置 为 文 件 夹 图 标 c ) 如 果 当 前 盘 符 属 性 为 “ r e m o v a b l e ” （ 最 常 见 的 是 U 盘 ） ， 则 会 在 盘 符 根 目 录 下 额 外 创 建 如 下 名 称 的 快 捷 方 式 ， 指 向 a 步 骤 中 的 病 毒 复 制 体 ， 并 将 快 捷 方 式 图 标 设 置 为 文 件 夹 ： m y   g a m e s m y   p i c t u e r s m y   v i d e o s h o t d o w n l o a d s m o v i e s 【 远 程 控 制 】 【 远 程 控 制 】 脚 本 在 完 成 上 述 操 作 之 后 ， 会 利 用 一 个 死 循 环 代 码 常 驻 系 统 内 存 ， 并 与 远 端 服 务 器 通 信 实 现 远 程 控 制 。 1 . 首 先 会 循 环 尝 试 解 析 服 务 器 列 表 中 的 所 有 域 名 ， 一 旦 解 析 成 功 则 使 用 这 个 解 析 成 功 的 域 名 作 为 连 接 地 址 ， 跳 出 这 首 先 会 循 环 尝 试 解 析 服 务 器 列 表 中 的 所 有 域 名 ， 一 旦 解 析 成 功 则 使 用 这 个 解 析 成 功 的 域 名 作 为 连 接 地 址 ， 跳 出 这 个 尝 试 循 环 。 不 过 脚 本 本 身 只 在 列 表 中 填 了 一 个 域 名 ： 个 尝 试 循 环 。 不 过 脚 本 本 身 只 在 列 表 中 填 了 一 个 域 名 ： 2 . 进 入 常 驻 内 存 的 远 控 死 循 环 ， 连 通 远 程 服 务 器 的 进 入 常 驻 内 存 的 远 控 死 循 环 ， 连 通 远 程 服 务 器 的 9 5 端 口 。 成 功 后 ， 会 先 将 本 地 的 机 器 名 、 用 户 名 、 所 在 国 家 、 系 端 口 。 成 功 后 ， 会 先 将 本 地 的 机 器 名 、 用 户 名 、 所 在 国 家 、 系 统 版 本 、 当 前 存 在 的 安 全 软 件 等 信 息 发 送 出 去 。 然 后 等 待 远 端 指 令 进 行 进 一 步 操 作 。 接 受 的 指 令 如 下 ： 统 版 本 、 当 前 存 在 的 安 全 软 件 等 信 息 发 送 出 去 。 然 后 等 待 远 端 指 令 进 行 进 一 步 操 作 。 接 受 的 指 令 如 下 ：
由 于 脚 本 本 身 特 性 所 致 ， 很 容 易 被 编 辑 修 改 。 所 以 分 析 人 员 将 远 控 的 控 制 服 务 器 稍 作 修 改 ， 就 在 自 己 的 机 器 中 实 现 了 对 虚 拟 机 内 脚 本 的 控 制 ： 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理