搜索

[8643] 2015-01-30_“暗云”BootKit木马详细技术分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-01-30_“暗云”BootKit木马详细技术分析 “ 暗 云 ” B o o t K i t 木 马 详 细 技 术 分 析 F r e e B u f   2 0 1 5 - 0 1 - 3 0 “ 暗 云 暗 云 ” 木 马 简 介 ： 木 马 简 介 ： “ 暗 云 暗 云 ” 是 一 个 迄 今 为 止 最 复 杂 的 木 马 之 一 ， 感 染 了 数 以 百 万 的 计 算 机 ， 暗 云 木 马 使 用 了 很 多 复 杂 的 、 新 颖 的 技 术 来 是 一 个 迄 今 为 止 最 复 杂 的 木 马 之 一 ， 感 染 了 数 以 百 万 的 计 算 机 ， 暗 云 木 马 使 用 了 很 多 复 杂 的 、 新 颖 的 技 术 来 实 现 长 期 地 潜 伏 在 用 户 的 计 算 机 系 统 中 。 其 使 用 了 实 现 长 期 地 潜 伏 在 用 户 的 计 算 机 系 统 中 。 其 使 用 了 B o o t K i t 技 术 ， 直 接 感 染 磁 盘 的 引 导 区 ， 感 染 后 即 使 重 装 格 式 化 硬 技 术 ， 直 接 感 染 磁 盘 的 引 导 区 ， 感 染 后 即 使 重 装 格 式 化 硬 盘 也 无 法 清 除 。 盘 也 无 法 清 除 。 该 木 马 使 用 了 很 多 创 新 的 技 术 ， 有 以 下 特 点 ： 该 木 马 使 用 了 很 多 创 新 的 技 术 ， 有 以 下 特 点 ： 第 一 、 隐 蔽 性 非 常 高 第 一 、 隐 蔽 性 非 常 高 ， 通 过 H o o k 磁 盘 驱 动 实 现 对 已 感 染 的 M B R 进 行 保 护 ， 防 止 被 安 全 软 件 检 测 和 清 除 ， 并 且 使 用 对 象 劫 持 技 术 躲 避 安 全 人 员 的 手 工 检 测 。 隐 蔽 性 极 高 ， 截 至 目 前 为 止 ， 几 乎 所 有 的 安 全 软 件 都 无 法 检 测 和 查 杀 该 木 马 。 第 二 、 云 思 想 在 暗 云 木 马 中 的 使 用 第 二 、 云 思 想 在 暗 云 木 马 中 的 使 用 ： 木 马 以 轻 量 级 的 身 躯 隐 藏 于 磁 盘 最 前 端 的 3 0 个 扇 区 中 ， 这 些 常 驻 与 系 统 中 代 码 并 没 有 传 统 木 马 的 功 能 ， 这 些 代 码 的 功 能 仅 仅 是 到 执 行 的 服 务 器 （ 云 端 ） 下 载 其 他 功 能 代 码 到 内 存 中 直 接 执 行 ， 这 些 功 能 模 块 每 次 开 机 都 由 隐 藏 的 模 块 从 云 端 下 载 。 因 此 木 马 体 积 小 巧 ， 且 云 端 控 制 性 强 。 第 三 ， 第 三 ， R i n g   3 与 与 R i n g   0 的 通 信 方 式 的 通 信 方 式 ： 微 软 正 统 的 通 信 方 式 是 R i n g   0 代 码 创 建 驱 动 设 备 ， R i n g   3 代 码 通 过 打 开 R i n g   0 创 建 的 设 备 开 实 现 相 互 之 间 的 通 信 。 常 见 的 木 马 使 用 的 通 信 方 式 则 是 在 R i n g 0 对 指 定 的 A P I 函 数 进 行 H o o k ， 而 暗 云 木 马 是 通 过 注 册 回 调 的 方 式 来 实 现 。 第 四 ， 操 作 系 统 全 量 兼 容 第 四 ， 操 作 系 统 全 量 兼 容 ： 一 份 B o o t K i t 同 时 兼 容 x 8 6 、 x 6 4 两 种 版 本 的 操 作 系 统 ， 且 能 够 兼 容 x p 、 w i n 7 等 当 前 主 流 的 操 作 系 统 版 本 ， 因 此 影 响 范 围 十 分 广 泛 。 在 推 广 获 利 方 面 ， 该 木 马 也 是 涵 盖 当 前 主 流 的 推 广 获 利 渠 道 — — 推 广 小 网 站 、 推 广 手 机 应 用 、 推 广 游 戏 、 大 网 站 加 推 广 I D 。 第 五 ， 有 效 对 抗 杀 软 第 五 ， 有 效 对 抗 杀 软 ： 有 于 木 马 的 主 体 在 内 核 中 运 行 ， 且 启 动 时 间 比 所 有 的 安 全 软 件 都 早 ， 因 此 大 部 分 的 安 全 软 件 无 法 拦 截 和 检 测 该 木 马 的 恶 意 行 为 。 木 马 能 够 在 内 核 中 直 接 结 束 部 分 安 全 软 件 进 程 ， 同 时 可 以 向 任 意 安 全 软 件 进 程 插 入 A P C 执 行 。 插 入 的 A P C 代 码 会 关 闭 安 全 软 件 的 文 件 监 控 设 备 句 柄 ， 会 导 致 安 全 软 件 文 件 监 控 失 效 ， 大 大 减 少 了 被 检 测 的 机 率 。 图 1 .   暗 云 木 马 启 动 流 程 图 （ 图 中 按 红 紫 绿 黑 分 四 个 模 块 ）
图 2   .   暗 云 木 马 模 块 功 能 分 工 示 意 图 一 、 常 驻 计 算 机 模 块 （ 一 、 常 驻 计 算 机 模 块 （ M B R ） 行 为 ） 行 为 概 述 ： 概 述 ： 电 脑 开 机 后 ， 受 感 染 的 磁 盘 M B R 第 一 时 间 获 得 C P U 的 控 制 权 ， 其 功 能 是 将 磁 盘 3 - 6 3 扇 区 的 木 马 主 体 加 载 到 内 存 中 解 密 执 行 ， 木 马 主 体 获 得 执 行 后 通 过 挂 钩 i n t   1 5 中 断 来 获 取 第 二 次 执 行 的 机 会 ， 随 后 读 取 第 二 扇 区 中 的 备 份 M B R 正 常 地 引 导 系 统 启 动 。 系 统 引 导 启 动 时 会 通 过 i n t   1 5 中 断 查 询 内 存 信 息 ， 此 时 挂 钩 1 5 号 中 断 的 木 马 便 得 以 第 二 次 获 得 C P U 控 制 权 ， 获 得 控 制 权 后 木 马 挂 钩 B I L o a d I m a g e E x 函 数 ， 调 用 原 始 1 5 号 中 断 并 将 控 制 权 交 回 给 系 统 继 续 引 导 。 当 系 统 引 导 代 码 调 用 B I L o a d I m a g e E x 加 载 n t o s k r n l . e x e 时 ， 木 马 便 第 三 次 获 得 控 制 权 ， 获 得 控 制 权 后 木 马 再 一 次 执 行 挂 钩 操 作 ， 此 次 挂 钩 的 位 置 是 n t o s k r n l . e x e 的 入 口 点 ， 随 后 将 控 制 权 交 给 系 统 继 续 引 导 。 当 引 导 完 毕 进 入 w i n d o w s 内 核 时 ， 挂 钩 n t o s k r n l 入 口 点 的 木 马 代 码 第 四 次 获 得 C P U 控 制 权 ， 此 时 木 马 已 真 正 进 入 w i n d o w s 内 核 中 ， 获 得 控 制 权 后 ， 分 配 一 块 内 存 空 间 ， 将 木 马 内 核 的 主 功 能 代 码 拷 贝 到 分 配 的 空 间 中 ， 并 通 过 创 建 P s S e t C r e a t e T h r e a d N o t i f y R o u t i n e 回 调 的 方 式 使 主 功 能 代 码 得 以 执 行 。 至 此 完 成 木 马 由 M B R 到 w i n d o w s 内 核 的 加 载 过 程 。 木 马 主 功 能 代 码 的 主 要 实 现 以 下 三 个 功 能 ： 木 马 主 功 能 代 码 的 主 要 实 现 以 下 三 个 功 能 ： 1 、 劫 持 磁 盘 驱 动 实 现 隐 藏 和 保 护 被 感 染 的 、 劫 持 磁 盘 驱 动 实 现 隐 藏 和 保 护 被 感 染 的 M B R ； ； 2 、 向 、 向 r i n g 3 的 一 个 的 一 个 s v c h o s t 进 程 插 入 进 程 插 入 A P C ； ； 3 、 通 过 设 置 注 册 表 回 调 来 接 收 、 通 过 设 置 注 册 表 回 调 来 接 收 r i n g 3 返 回 。 返 回 。 插 入 到 s v c h o s t 代 码 只 实 现 一 个 简 单 的 功 能 ： 判 断 操 作 系 统 类 型 ， 从 云 端 下 载 相 应 的 A d d a t a . d a t 模 块 到 本 地 ， 解 密 执 行 ， 云 端 模 块 的 U R L 硬 编 码 在 S h e l l c o d e 中 。
图 3 .   B o o t K i t   启 动 过 程 示 意 图 代 码 细 节 ： 代 码 细 节 ： 感 染 后 的 M B R （ 黑 ） 与 原 始 M B R （ 红 ） 对 比 图 二 、 云 端 模 块 一 （ 二 、 云 端 模 块 一 （ A d d a t a . d a t ） 行 为 ） 行 为 概 述 概 述 : 此 模 块 为 木 马 云 端 配 置 的 第 一 个 模 块 ， 其 格 式 固 定 ， 以 简 单 的 循 环 移 位 的 方 式 进 行 加 密 ， 解 密 后 的 模 块 数 据 结 构 如 下 ： 云 端 模 块 1 解 密 后 的 数 据 结 构 该 模 块 的 前 4 字 节 为 标 志 “ C O D E ” ， 仅 作 为 数 据 合 法 性 校 验 ， 校 验 成 功 后 直 接 执 行 其 后 的 S h e l l c o d e ， 而 S h e l l c o d e 的 功 能 则 是 负 责 将 A d d a t a . d l l 在 内 存 中 加 载 ， 最 终 从 其 入 口 点 处 开 始 执 行 之 。 A d d a t a . d l l 的 主 要 功 能 是 下 载 者 ， 其 具 体 的 行 为 仍 然 依 赖 于 云 端 配 置 ， 其 运 行 后 首 先 会 从 云 端 下 载 配 置 文 件 ， 配 置 文 件 所 在 的 U R L 为 ： h t t p : / / a d . s q c 3 . c o m / u p d a t e / c o n f i g . d b ， 该 U R L 硬 编 码 在 文 件 中 。 下 载 后 解 析 配 置 文 件 ， 由 配 置 文 件 来 决 定 代 码 中 的 功 能 是 否 执 行 ， 以 及 具 体 的 参 数 信 息 ， 能 够 实 现 的 功 能 以 及 实 际 配 置 文 件 信 息 如 下 表 所 示 ： 代 码 细 节 ： 代 码 细 节 ： 1 、 A d d a t a . d l l 中 硬 编 码 的 配 置 文 件 U R L 信 息
2 、 设 置 浏 览 器 主 页 的 相 关 代 码 3 、 对 下 载 的 文 件 可 进 行 不 同 的 处 理 （ L o a d L i b r a r y 、 C r e a t e P r o c e s s 、 加 载 到 内 核 执 行 ） ， 这 里 还 有 一 个 很 有 意 思 的 代 码 ： D e l e F i l e A ( “ 我 真 的 凌 乱 了 … … . ” ) ， 作 者 都 凌 乱 了 ， 真 的 很 复 杂 ！ 4 、 S h e l l c o d e 是 通 过 N t S e t I n f o r m a t i o n K e y 代 入 内 核 的 （ 内 核 注 册 了 c m p C a l l B a c k ）
三 、 云 端 模 块 二 （ 三 、 云 端 模 块 二 （ j m d m . d b ） 行 为 ） 行 为 概 述 概 述 : 此 模 块 为 木 马 云 端 配 置 的 第 二 个 模 块 ， 由 云 端 模 块 一 下 载 后 传 递 到 内 核 执 行 ， 已 相 对 较 为 复 杂 的 加 密 算 法 进 行 加 密 ， 其 中 文 件 的 前 0 x 3 2 字 节 为 解 密 k e y ， 解 密 后 的 模 块 数 据 结 构 如 下 ： 云 端 模 块 2 解 密 后 的 数 据 结 构 由 于 此 木 马 同 时 兼 容 3 2 位 操 作 系 统 和 6 4 位 操 作 系 统 ， 因 此 这 个 此 模 块 包 含 两 个 版 本 ， 内 核 模 块 会 根 据 操 作 系 统 的 类 型 执 行 相 应 的 S h e l l c o d e ， 因 为 两 套 代 码 功 能 完 全 一 致 ， 以 下 仅 分 析 x 8 6 部 分 。 该 模 块 首 先 被 该 模 块 首 先 被 N t S e t I n f o r m a t i o n K e y 传 入 内 核 ， 由 内 核 模 块 从 内 核 传 入 内 核 ， 由 内 核 模 块 从 内 核 S h e l l c o d e 开 始 执 行 ， 内 核 开 始 执 行 ， 内 核 S h e l l c o d e 的 功 能 有 如 下 两 的 功 能 有 如 下 两 个 ： 个 ： 1 ） 结 束 指 定 杀 软 进 程 ， 包 括 k x e t r a y . e x e 、 k x e s c o r e . e x e 、 Q Q P c T r a y . e x e ， 由 于 管 家 的 进 程 有 o b j e c t 钩 子 防 护 ， 因 此 不 会 被 干 掉 。 2 ） 遍 历 进 程 ， 如 果 进 程 名 为 以 下 之 一 ， 则 将 尾 部 的 应 用 层 S h e l l c o d e   以 a p c 的 方 式 插 入 到 该 进 程 中 ， 插 入 一 个 进 程 后 便 退 出 遍 历 ， 不 再 插 其 他 进 程 。 具 体 进 程 列 表 如 下 ： 3 6 0 t r a y . e x e 、 3 6 0 s a f e . e x e 、 3 6 0 s d . e x e 、 3 6 0 r p . e x e 、 z h u d o n g f a n g y u . e x e 、 Q Q P c R t p . e x e 、 K S a f e S v c . e x e 、 K S a f e T r a y . e x e 、 B a i d u S d T r a y . e x e 、 B a i d u A n T r a y . e x e 、 B a d d u A n S v c . e x e 、 B a i d u H i p s . e x e 、 B a i d u P r o t e c t . e x e 、 w s c n t f y . e x e 、 s p o o l s v . e x e 、 a l g . e x e ， 以 上 进 程 名 均 硬 编 码 于 S h e l l c o d e 中 。 应 用 层 S h e l l c o d e 被 插 入 指 定 进 程 后 开 始 执 行 ， 其 功 能 是 在 内 存 中 动 态 加 载 j m d m . d l l 文 件 并 跳 到 其 入 口 点 执 行 。 j m d m . d l l 的 主 要 功 能 依 然 是 下 载 者 ， 其 代 码 与 A d d a t a . d l l 有 6 0 % 以 上 的 相 似 性 ， 可 以 确 定 为 同 一 份 源 码 修 改 而 来 ， 其 具 体 的 行 为 仍 然 依 赖 于 云 端 配 置 ， 其 运 行 后 首 先 会 从 云 端 下 载 配 置 文 件 ， 配 置 文 件 所 在 的 U R L 为 ： h t t p : / / j m . s q c 3 . c o m / c n / j m d m p z . d b ， 该 U R L 硬 编 码 在 文 件 中 。 下 载 后 解 析 配 置 文 件 ， 由 配 置 文 件 来 决 定 代 码 中 的 功 能 是 否 执 行 ， 以 及 具 体 的 参 数 信 息 ， 能 够 实 现 的 功 能 以 及 实 际 配 置 文 件 信 息 如 下 表 所 示 ：
以 上 行 为 执 行 完 毕 后 ， 木 马 会 等 待 下 载 的 i n s t . e x e 、 u p d a t e . e x e 运 行 完 毕 后 重 新 创 建 一 个 新 的 宿 主 进 程 ， 随 后 调 用 E x i t P r o c e s s 退 出 原 始 宿 主 进 程 。 代 码 细 节 ： 代 码 细 节 ： 1 、 调 用 Z w T e r m i n a t e P r o c e s s 结 束 安 全 软 件 进 程 k x e t r a y . e x e 、 k x e s c o r e . e x e 、 Q Q P c T r a y . e x e ， 由 于 管 家 的 进 程 有 o b j e c t 钩 子 防 护 ， 因 此 不 会 被 干 掉 。
2 、 遍 历 进 程 ， 看 进 程 是 否 在 硬 编 码 的 进 程 列 表 中 ， 如 果 是 ， 则 插 入 a p c ， 找 到 一 个 进 程 之 后 跳 出 循 环 ， 即 只 向 一 个 进 程 插 入 a p c 3 、 插 a p c 的 具 体 代 码
4 、 关 闭 名 为 D e v i c e q u t m i p c 等 的 设 备 句 柄 ， 名 称 字 符 串 硬 编 码 于 文 件 中 5 、 配 置 文 件 h t t p : / / j m . s q c 3 . c o m / c n / j m d m p z . d b   的 U R L 硬 编 码 在 文 件 中 6 、 下 载 指 定 U R L 的 文 件 到 本 地 ， 加 载 或 者 运 行
四 、 木 马 的 盈 利 推 广 部 分 （ 四 、 木 马 的 盈 利 推 广 部 分 （ i n s t . e x e 、 、 u p d a t e . e x e ） 行 为 ） 行 为 概 述 ： 概 述 ： 木 马 的 最 终 目 的 只 有 一 个 — — 盈 利 ， 而 i n s t . e x e 和 u p d a t e . e x e ， 这 连 个 落 地 的 P E 文 件 ， 则 是 真 正 能 够 使 作 者 获 得 丰 厚 收 益 的 模 块 ， 也 是 木 马 开 始 执 行 真 正 恶 意 的 行 为 。 I n s t . e x e 运 行 后 首 先 在 桌 面 上 释 放 一 个 名 为 “ 美 女 视 频 聊 天 ” 的 快 捷 方 式 ， 该 快 捷 方 式 指 向 一 个 h t t p : / / h a o m m . c o m ， 并 带 了 一 个 推 广 i d ， 实 现 推 广 网 站 盈 利 。 I n s t . e x e 还 会 释 放 X n f B a s e . d l l 、 t h p r o 3 2 . d l l 两 个 d l l 到 % a p p d a t a % 目 录 下 ， 并 通 过 注 册 服 务 的 方 式 加 载 这 两 个 d l l 。 X n f B a s e . d l l 实 现 的 功 能 是 L S P 劫 持 ， 当 用 户 使 用 浏 览 器 浏 览 w w w . h a o 1 2 3 . c o m 、 w w w . b a i d u . c o m 等 网 站 的 时 候 在 其 网 址 尾 部 添 加 推 广 I D ， 从 而 实 现 获 利 。 t h p r o 3 2 . d l l 实 现 的 功 能 是 ： 不 断 地 删 除 系 统 中 指 定 提 供 者 的 L S P ， 防 止 其 他 木 马 或 安 全 软 件 通 过 L S P 再 次 修 改 推 广 I D 。 U p d a t e . e x e 运 行 后 会 创 建 两 个 s v c h o s t . e x e 傀 儡 进 程 ， 并 将 解 密 出 的 功 能 模 块 分 别 注 入 到 两 个 进 程 中 ， 一 个 负 责 向 安 卓 手 机 安 装 推 广 a p p 、 另 一 个 实 现 向 含 有 “ 私 服 ” 等 关 键 词 的 Q Q 群 上 传 共 享 文 件 ， 用 来 推 广 私 服 游 戏 获 利 。 木 马 通 过 各 种 推 广 来 实 现 盈 利 代 码 细 节 ： 代 码 细 节 ： 1 、 当 用 户 用 浏 览 器 访 问 w w w . b a i d u . c o m 等 网 站 时 ， 为 其 添 加 推 广 i d ， 实 现 推 广 获 利 2 、 在 桌 面 上 创 建 的 美 女 视 频 聊 天 快 捷 方 式 ， 推 广 h a o m m . c o m 这 个 网 站
3 、 不 断 检 测 是 否 有 L S P 模 块 ， 有 则 删 除 ， 保 护 自 己 的 推 广 I D 不 被 修 改 4 、 向 指 定 名 称 的 Q Q 群 上 传 私 服 游 戏 ， 进 行 私 服 游 戏 的 推 广 [ 文 文 / 腾 讯 电 脑 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 腾 讯 电 脑 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理