问答
发起
提问
文章
攻防
活动
Toggle navigation
首页
(current)
问答
商城
实战攻防技术
漏洞分析与复现
NEW
活动
摸鱼办
搜索
登录
注册
vbs脚本传播银行木马变体样本分析
样本分析 VBS 第一阶段 第一阶段是一个高度混淆的独立vbs脚本，它会将包括恶意样本在内的其他有效负载下载到系统上。 vbs脚本前面定义了三个变量，之后重新构造变量，重新组合后，NbCTQqd的值...
样本分析 ==== VBS 第一阶段 -------- 第一阶段是一个高度混淆的独立vbs脚本，它会将包括恶意样本在内的其他有效负载下载到系统上。  vbs脚本前面定义了三个变量，之后重新构造变量，重新组合后，`NbCTQqd`的值为： ```vbs wscrilqpt.exe //E:vbscript ``` 之后通过`CreateObject("Scripting.FileSystemObject")`创建文件系统对象。 接着做了一个路径生成，最终生成的路径是`"C:\Users\[User]\AppData\Local\Temp\tmp123454321pmt.txt"`，往下`CreateTextFile` 创建一个新文本文件。 接着下面全是混淆，借助vs解混淆可以得到完整的内容：   脚本从提供的URL中下载 pyaloads，并使用 rundll32.exe 执行下一阶段恶意软件，即恶意样本的主体。 Emotet DLL ---------- DIE检查它是一个32位的DLL文件。  这里调试使用“rundll32.exe”进行加载。`Parameters`选项用于指定指定程序在启动或调试时所需要的命令行参数，这里使用参数`Control_RunDLL`。  一旦该恶意样本文件被“rundll32.exe”加载，它的入口点函数就会被首次调用。然后，它会调用 DllMain() 函数，从“资源”中加载并解密 32 位 Dll 到其内存中。解密的 Dll 是这个恶意样本的核心，由于其中包含一个硬编码的常量字符串，因此在本分析中将其称为“X.dll”。   通过System informer可以找到该进程内存的x.dll。 "X.dll"检查命令行参数中的导出函数名称是否为"Control\_RunDLL"。如果不是,它会再次使用"Control\_RunDLL"而不是其他导出函数(如"C:\\Windows\\syswow64\\rundll32.exe emotet.dll,Control\_RunDLL")运行命令行。然后,它会调用ExitProcess()退出第一个"rundll32.exe"。如果初始DLL尚未加载ControL\_RunDLL,它会使用API CreateProcessW()运行新命令。 可以借助内存转储工具将X.dll dump出来。  X.dll ----- 我们可以进一步使用转储的 x.dll，并根据当前正在调试的程序重新设置程序，并将导出映射到正在调用的函数。例如，调用 eax 跳转到 x.dll 中的 Export Contro\_RunDLL，该 DLL 映射如下图所示：  从x.dll的`Contro_RunDLL`开始,为了方便这里将其重命名为`Contro_RunDLl_xdll`  在函数`sub_1001FCD8`的图形视图中可以发现,下。x.dll使用了控制流平坦化的操作,将代码进行了高度混淆。  可以通过给指定函数内的所有调用指令（`call`）添加断点。 idapython代码如下： ```python import idautils import idaapi import idc def add_breakpoints_on_calls(func_name): # Get the function address by name func_ea = idc.get_name_ea_simple(func_name) if func_ea == idc.BADADDR: print(f"Function {func_name} not found!") return # Get the function's end address func = idaapi.get_func(func_ea) if not func: print(f"Function {func_name} not found!") return # Iterate through the instructions in the function for head in idautils.Heads(func.start_ea, func.end_ea): # Check if it's a call instruction if idc.print_insn_mnem(head) == "call": # Add a breakpoint at the call instruction idc.add_bpt(head) print(f"Breakpoint added at 0x{head:x}") print(f"Breakpoints added on all call instructions in function: {func_name}") # Example: specify the function name where you want to add breakpoints add_breakpoints_on_calls("Flatten_func") #Flatten_func is the "code flow flatenning function that i renamed" ``` 给函数`sub_1001FCD8`重命名为`Flatten_func`，可以得到：  ### 字符串混淆  所有字符串均在x.dll中加密，并在运行时解密。它会解密恶意软件中加载的所有附加库的名称。  ### API解析 所有 API 都是动态加载的，以避免在静态分析中被检测到。在上面的例子中，我们看到“advapi32.dll”的字符串被解密。在此函数中，它将使用 API `LoadLibraryW`加载并执行。函数`resolve_func`负责解析 API 哈希并在比较哈希后返回 API 地址。  从这里开始，所有 API 都使用 API 哈希解析并执行。   它首先检查的是命令行参数，以查看 dll 是否已使用`Control_RunDLL`参数执行以及执行路径。如果恶意软件不是从%AppData%执行的，那么它会将自身移动到 Appdata 中的安全位置。 它涉及下列windows api - SHGetFolderPathW 获取 `%Appdata%` 的路径。 - GetCommandLineW 检查命令行参数和路径。 - CreateFileW 获取自身的文件句柄。 - GetFileInformationByHandleEx 获取自身的文件信息。 - GetTickCount 生成随机名称。 - SHFileOperationW 复制文件。 - DeleteFileW 删除复制文件的 Zone 标识符。     当恶意软件被转移到其他位置后，它会再次使用 rundll32.exe 执行自身，从而删除原始文件。再次执行自身所使用的 API 如下： - CreateProcessW 该表情符号再次使用 rundll32 在 %appdata% 中新保存的 dll 执行 - ExitProcess 退出第一个进程 x.dll的行为会根据执行位置而改变。如果从 %Appdata% 执行，它会继续执行；但如果从其他路径执行，它会更改位置并重新加载。    ### 信息收集 最后一个阶段的恶意软件将 x.dll 复制到 %appdata% 本地文件夹中，文件夹名称和文件名均为随机的，并添加了 `.xnj` 扩展名。在此阶段，我将再次使用带有参数 `Control_RunDLL` 的 `rundll32` 执行 dll，并进一步调试其行为。 它首先对 kernel32 和 ntdll 位置进行常规 PEB 遍历，然后查找 `LoadLibraryW` 和 `GetProcAddress` 的地址。然后，它加载所需的所有模块，并首先检查执行文件路径和模块名称。如果一切正确，它会收集系统信息以制作请求并将机器人注册到 c2 服务器。 - GetComputerNameA 获取受害系统的名称 - GetWindowsDirectoryW 获取安装系统文件的 Windows 目录 - GetVolumeInformationW 获取音量信息  ### 文件删除 当恶意样本尝试删除 %AppData% 中主目录中存在的所有额外文件时，我们发现它有独特的行为。除了主 emotet dll 之外，它还会删除目录中的所有其他文件。  如上图所示，它正在尝试删除名为 cdomcinc.xnj.id0 的 ida 文件。 ### 加密密钥 样本使用椭圆曲线密码 ECDH 密钥来建立加密密钥。生成的 ECDH 私钥和嵌入的 ECDH 公钥与 `BCryptSecretAgreement` 函数一起使用，在恶意软件和 C2 之间生成共享密钥。使用 `BCryptDeriveKey` 函数从共享密钥中派生出 AES 密钥。    ### C2通信 样本通过结合其发现的主机数据、使用派生的加密密钥对数据进行编码/加密并通过 http 发送，制作将机器人注册到 c2 服务器的第一个请求。 - 它收集桌面名称和 mac 地址的哈希值 - 它收集窗口的路径 - 它收集卷的信息 将所有这些附加在一起，同时在每个元素后用“；”分隔字符串。然后对字符串进行编码和加密，如下所示：   样本使用wininet API 发送恶意请求并获取响应。它使用 GET 和 POST 请求，数据在 cookie 标头中发送。对于较大的数据，它使用 POST 请求，否则它主要使用 GET 请求。 URI 是随机生成的，数据在 Cookie 标头中加密。Cookie 标头包含随机生成的密钥名称和 base64 编码的密钥值。解码后，密钥值包含： - 生成的 ECDH 公钥 - AES 加密请求数据 - 随机字节 用于加密请求数据的 AES 密钥通过以下方法生成： - 生成的 ECDH 私钥和嵌入的 ECDH 公钥与 `BCryptSecretAgreement` 函数一起使用，在恶意软件和 C2 之间生成共享秘密 - 使用 `BCryptDeriveKey` 函数从共享密钥派生出 AES 密钥  
发表于 2024-12-16 10:00:00
阅读 ( 1272 )
分类：
二进制
0 推荐
收藏
0 条评论
请先
登录
后评论
友人Aaaaaaaaaa
5 篇文章
×
发送私信
请先
登录
后发送私信
×
举报此文章
垃圾广告信息：
广告、推广、测试等内容
违规内容：
色情、暴力、血腥、敏感信息等内容
不友善内容：
人身攻击、挑衅辱骂、恶意行为
其他原因：
请补充说明
举报原因:
×
如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！
