负载恶意软件HawkEye的VB Inject样本分析
2018-10-24 08:43:42来源:红黑联盟 阅读 ()
概述
恶意软件HawkEye的利用大多都是通过钓鱼邮件分发,利用office直接启动HawkEye主体或者一些经过加密的程序,本文中的VB Inject属于后者,也把重心放在了调试这个VB程序上。
文件基本信息如下:
项
值
PEID
VB
MD5
3e3cec381975a0c4a3a2333370ca0799
大小
684KB
修改日期
2018/6/13
VirusTotal上的该样本信息:
病毒名大多为VBKrypt或者VBInject。
0×02 行为监控
将自身复制到C:\User\user\AppData\Romaing\WindowsUpdate.exe,创建C:\User\user\AppData\Romaing\pid.txt,C:\User\user\AppData\Romaing\pidloc.txt,并将WindowsUpdate.exe加入自启动项。
用wireshark抓网络行为,发现该样本会访问http://whatismyipaddress.com/,并与yandex邮件服务器建立连接。
0×03 反调试
因为是个VB程序,首先就想到用VB decompile反编译。效果如下:
似乎是没不能看出什么,于是来调试一下。
步过这个call之后,会跳转到一个错误指令:
想到可能是因为反调试导致的,所以步入0x4012A1的call,然而里面的代码都是模块msvbvm60的,一个比较快能定位到主程序的办法就是通过VB decompile中显示的地址。于是我在0x4A07D6、0x4A0BC8下断。Form_Load中没有什么有用的信息,直接断到Form_Paint。
这里做了一些字符串的操作,直接自动步过,然后来到下面这个call:
回车进去看到有调用DllFunctionCall,这里会调用RtlMoveMemory很多次,复制一段内存:
在循环结束的地方F4:
单步之后发现程序会在下图位置运行起来,进入错误指令:
跟进后,又来到下面的call(因为其他的call都有函数名__vbaxxx),回车进入后发现这个call也调用了DllFuncitonCall:
调用了EnumWindows,这个函数一个参数是回调函数,所以需要留意。
函数原型:
BOOL EnumWindows( WNDENUMPROC lpEnumFunc, LPARAM lParam );
lpEnumFunc是指向回调函数的指针,lParam是传递给回调函数的参数。
看此时栈的状态,第一个参数位于0x12F4D8,在该处下断。
然后F8->执行到用户代码,断到该处::
单步到后面的jmp之后跳到下面的地址:
这里call edx之后,跳到错误地址,该地址正确编码后的指令是:
地址为0x48EA92,但程序却跳到了0x48EA93:
注意到在call之前的一条adc指令,程序在这里加了1,导致跳转到0x48EA93,反反调试的话做到这里把这条指令nop掉就可以了,不过可以看看[ebx+2]的值是怎么决定的。
返回去看到这里,就知道为什么了。
fs:[esi](此时esi的值为0×18)指向自身(TEB结构),偏移为3的地址处是BeingDebugged, 0×01是被调试中:
nop掉保存再调试。
0×04 运行时解密
从过了反调试的地址0x48EA92开始:
干扰指令很多,还有一部分硬编码。一直单步,遇到call都最好跟进,这段代码中的call不多:
调用DllFunctionCall得到EnumWindows的地址:
这里可以直接步过:
然后出现VirtualAlloc,然后同样DllFunctionCall得到VirtualAlloc地址,然后调用。
分配了内存1,推断是要解密自身代码写入到地址:
开始往这片内存写入内容,然后跳转到这个地址:
单步到下图,又有一个反调试,同样是通过TEB读取PEB BeingDebugged的值:
又调用一次VirtualAlloc分配内存2:
跟到下面又发现对PEB结构的访问,偏移为0×68。
其实不太清楚偏移0×68是什么,就查了一下:
PEB有一个名为NtGlobalFlag(偏移量为0×68)的字段,程序可以挑战识别它们是否正在被调试。通常,当未调试进程时,NtGlobalFlag字段包含值0×0。在调试进程时,该字段通常包含值0×70。
此时这个值正好为0×70,所以这个je不能跳。
继续单步跟,会调用很多次DllFuncitonCall,可以看到获取了许多API的地址,如ShellExecuteW,WriteFile,CreateFile,VirtualProtect,CreateProcess等。
接下来又分配了内存3,地址为:
来看看分配的这三块内存的状态:
目前除了刚分配那个不能执行,其他的都可读可写可执行:
往内存0×3430000赋值:
开始解码:
解码完成后,有点PE头的样子了,只是少了标志性的”MZ”:
调用GetCommandLineW,以获取的路径为参数创建子进程:
调用ZwAllocateVirtualMemory在指定进程分配内存:
将0x5A赋值给0×343600不完整的PE文件,后面还会写入’M’。
然后调用ZwWriteVirtualMemory写入内存空间,写入的内容地址正是0×343600。
父进程将解密出来要执行的PE写入子进程的内存,然后中止当前进程。
0×05 样本主体
在之前的行为监控中,注意到,样本在C:\User\user\AppData\Romaing\目录下生成了三个文件 pid.txt,pidloc.txt,WindowsUpdate.exe。这些功能都是通过解密出来的PE实现的。样本的VB代码只相当于一个外壳,运行时解密、创建子进程、注入进程等。提取出来的这个PE载入ExeinfoPE,发现这个程序是.NET Reactor类型的代码混淆。
这里我用了de4dot-mod反混淆工具,不用工具直接动态调试也可以。
去除反混淆后生成的文件变成了528KB,原文件大小为65512KB,用PEID打开,可以看到导入表只有一个动态链接库mscoree.dll,函数是_CoreExeMain。
接下来尝试用.NET的反编译工具dnSpy试试。
反编译成功后,发现该程序是恶意软件HawkEye,用于凭据窃取,包括电子邮件Web浏览器,Bitcoin钱包,反病毒检查,键盘记录等。
标签:
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有
- 如何快速找出Linux服务器上不该存在恶意或后门文件 2019-08-19
- 计算机感染了恶意软件几种常见症状 2019-08-19
- 美国勒索邮件包含软件安装程序,攻击者索要比特币 2019-01-01
- 苹果正式回应iPhone禁售令:已提出复议 下周更新软件 2019-01-01
- 谷歌嘲讽亚马逊:人脸识别软件不成熟 不足以对外销售 2019-01-01
IDC资讯: 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营: 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程: Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术: Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧: 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作: FrontPages Dreamweaver Javascript css photoshop fireworks Flash