从一条微博揭秘“专黑大V名人”的定向攻击

前言

本月初微博上有知名大V晒出一封私信截图,私信是以某记者名义发出,要求采访该大V博主,并提供了一个网盘链接作为“采访提纲”。当博主下载网盘中存放的所谓“采访提纲”后,该文件被360安全卫士检测为木马进行清除。

我们根据截图中的网盘链接下载了伪装“采访提纲”的木马进行分析,发现这是来自于一个长期从事木马植入与数据窃取的不法黑客团伙,该团伙利用盗取或冒名的各类账号,对账号关联人发起攻击,木马功能包括录音、远程上传或下载任意文件、服务管理、文件管理、屏幕监控等,很明显是意图窃取数据进行勒索或售卖来谋取利益。

样本信息

样本流程图

样本详细分析

XXXX采访提纲.exe

木马作者将自己的样本做成一个word文档的样子。不管从图标还是名字上面来看都是word的样子诱导用户去点击查看。但是这个却是一个exe程序。该exe程序运行时首先会在C盘下面尝试写一个空文件,看是否能够写入成功。如果写入成功他就会删除该文件,然后开始执行一系列操作来在安装自己。首先释放大量文件,作者将自己的文件夹设置为了隐藏。如果我们的文件夹选项中没有勾选显示隐藏搜保护的操作系统文件我们是看不到的。

释放文件完毕后接下来会创建VSTquanjuhe.com这个可执行文件,VSTquanjuhe进程会运行explore来打开C:\OA路径。弹出一个空的docx文档。(ps:测试没有装word,所以这里比较尴尬,没有word图标)

接下来用ua.exe这个程序来解压links.ini文件,解压密码为”█噎冪蕟嚄Щ暜囖醃∷滸濤∑”,解压后判断判断系统是多少位的如果是32位的就运行Win1.bat文件,如果是64位的就运行Win2.bat(Win2.bat内容和Win1.bat内容相似,只是不再判断是多少版本的系统)

Win1.bat

该文件的内容主要是先判断是否存在swapfile.sys文件,来判断操作系统版本的。如果存在就将test1.pfx重命名为2016mt.1r放到C:\Windows目录下,否则就将test2.pfx文件重命名为2016mt.1r放到C:\Windows目录下.接下来

调用regedit.exe来运行ua.lnk→运行mew.1r→msg 系统需要升级→关机重启

ua.lnk

写入注册表,并关联文件。将.1r文件与”VBEFile”文件相关联以及将.3f文件与”inifile”文件相关联。使这两种后缀的文件能按vbe和inf文件的形式打开。

mew.1r

该文件是一个被加密了5次的vbs文件,源文件打开看到的像是一堆乱码。如图

最后解密到的脚本内容

解密后的vbs文件的主要功能就是模拟鼠标去点击运行”C:\$NtUninstallKB1601A$\BinBackup\MYTEMP”文件下的8.3f文件

8.3f

在RunOnceEx下写入了一个注册表,开机时就启动2016mt.1r(vb文件)文件。

2016mt.1r

开机后运行2016mt.1r→0s.bat文件→调用regdit运行lang2.lnk→解压abc1601.bat→运行shotdown

os.bat

用abc.os文件去覆盖qmvext.db文件,该文件时用来存放规则的文件。写入规则后的文件就不会被查杀了。这里作者用自己的数据文件替换用户的数据文件。就是为了绕过腾讯管家的查杀。不过这个漏洞在2013就在乌云上报道过了。

lang2.lnk

通过调用regeedit /s 来执行reg文件。该文件的主要作用是关联文件以及在注册表在Active Steup下的StubPath键下写入了”C:\\$NtUninstallKB1601A$\\BinBackup\\super.inf”,写入注册表写入后,super.inf文件会在操作系统启动后第一时间启动。比任何一个程序都要先启动。

abc1601.dat

abc1601.data是一个被加密了的压缩文件。解压密码为“▓羋奤柒♀懋髖瓊♂蠟蕙纗▓ ”。解压后出现一个shotdown文件,然后ua.exe会运行shotdown文件,shotdwon释放FreeImage.dll文件,接下来FreeImage.dll会释放出并运行FreeImage.exe

FreeImage.exe

该文件是先将自己写的函数的地址写入在程序中,这样就提高了分析者对样本分析的难度

将地址写死在程序中后,通过对寄存器的调用来调用自己写的函数。一直在不停的call eax来调用函数

接下来就对他进行注入了。先调用WriteProcessMemory函数对svchost.exe写入数据,接下来调用SetThreadContext函数来设置EIP然后调用ReumeThread来恢复线程

通过新设置的EIP我们找到了被注入的svchost.exe的入口地址(通过对写入文件前下CC断点),用OD附加后调试发现。被注入的文件就是FreeImage本身。如果注入成功,FreeImage就结束运行。不过不管注入成不成功svchost也会发起数据链接,结合在动态分析对该远控功能的分析和对数据包结构的分析。可以看出,该远控是一个灰鸽子改版过来的RemoteABC远程控制软件。

图.上线包

如果系统版本不是win8及其以上,则2106mt.1r是由test1.pfx解密而来文件主要内容如下:

运行os.bat(覆盖腾讯信任文件数据库文件)→解压abc.data→解压inst.ini→运行会释放出远控的shotdown.exe→调用regedit.exe运行lang1.lnk→重启电脑

inst.ini

解密后得到的文件是作者事先写好的360卫士的信任区数据文件和一个安全工具及其相关的组件

lang1.lnk

lang1.lnk将bmd.vbe写入了启动项里面。写入后会开机自启动,启动后运行bmd.vbe

bmd.vbe

bmd.vbe文件也是被加密过5次的vbs文件,它主要运行ub.lnk以及gsxt.bat

ub.lnk

ub.lnk解密mtfile.tpi文件。并执行ing.exe文件

gsxt.bat文件主要内容

gsxt.bat通过调用一个rootkit工具,删除替换杀软的信任区文件,从而将木马加入用户的信任区。尽管该木马专门针对360安全卫士进行破坏,试图躲过查杀,但360多重防护体系的“下载保护”将木马直接报毒清除,使其无法运行起来,从而有效保护了用户避免中招。

木马背后

在我们捕获的同族系样本中,还发现一个命名为“left and right base trigger, left and right bumper s136mould20000pieces.exe”的样本。该文件属于工程技术类文档,而图标则是一个文件夹图标。与上面分析的样本不同的的是,它是在OA文件夹下释放的,并且不再是Word文档,而是四个STEP文档。STEP文件是一个国际统一的CAD数据交换标准,根据这四个STEP文件内容来看,是针对SolidWorks 2014这款软件的。

这个木马团伙最近一段时间,使用远控控制服务器,均是位于青岛的阿里云服务器中心。

两个木马使用的远控上线地址:

下面是近期该族系传播比较多的几个变种,涵盖多个行业:

不难发现:木马的文件名、传播渠道、针对人群这三组指标都有极高的统一性,这明显不是那种常见的“撒网捕鱼”式的木马,而是前期先获取到一部分人的邮箱、通讯软件、社交平台等账号密码,之后人工分析原账号持有者的社交圈和社交习惯,再根据分析结果定向发送定制的木马程序,增加木马投放的成功率,同时也方便更有目的性和更高效的窃取中招用户机器上的资料。植入中招用户机器中的是远控木马而不是普通的盗号木马,这样也是更方便认为的控制要获取的资料,目的性进一步提高。

关系草图大体如下:

这里只是将已经展现在我们面前的第一层关系图画出来,不难发现在这种有人工参与的目的性极强的攻击方式下,很容易的形成一个链式反应。只要参与运营的人手够多,就足以在短时间内掌握大量的特定行业内部信息——而这能换取的经济利益显然是巨大的。

总结

此类定向木马具有明显的专一性,需要较高的人工参与度,所以传播方式并不是传统木马的以量取胜,而是转变为定点打击的精准小范围传播。虽然成本更高,但显然收益也更加可观。同时避免大规模的传播也就等同于降低了被各大安全厂商云安全机制发现的风险。

* 作者:360安全卫士(企业账号),转载请注明来自FreeBuf黑客与极客

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2015-12-11

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

细数最新Android N的安全改进

上个月的Google I/O大会上,谷歌发布了Android N,但是大会的内容实在太多,导致都没有来得及详细介绍新系统的安全特性。现在,我们来看看Androi...

20010
来自专栏FreeBuf

逆向工程分析:摩托罗拉安全摄像头究竟有多不安全?

写在前面 这年头,谁家不得防贼防盗防小三?云安全摄像头也就变得越来越盛行了。可虽然叫“安全”摄像头,它们本身的安全性或许并不怎么样。这款摩托罗拉Focus 73...

24810
来自专栏程序小工

【转】Windows系统下的高效工具

Mac 之所以 高效,实际上是藉其自带特色功能以及原生的命令行支持 (当然也有它脑残的一面,例如:自带的窗口管理基本没带;新建文件只能使用命令 touch ·...

1342
来自专栏FreeBuf

深入解读MS14-068漏洞:微软精心策划的后门?

0x0 背景 初次认识该漏洞是在FreeBuf上对该漏洞的预警《漏洞预警:系统权限提升漏洞(CVE-2014-6324)影响全版本Windows服务器》: 微软...

2168
来自专栏FreeBuf

MaiInt:基于某应用的公司雇员信息收集测试工具

本文将介绍一款由埃森哲安全实验室Vincent Yiu开发的,针对中国某职场社交应用的开源信息自动化收集测试工具-MaiInt(Github下载)。MaiInt...

932
来自专栏Kurt Niu 的博客

使用Mifare卡加密数据 笔记

Mifare 是最常用的射频卡,具体介绍网上太多,我就不说了.,很多城市的最早的地铁公交卡都是用这种卡,后来被破解后都换成智能卡了. 但是由于技术成熟,使用方...

3161
来自专栏FreeBuf

挖洞经验 | 看我如何发现“小火车托马斯”智能玩具APP聊天应用漏洞

最近,我向智能玩具厂商ToyTalk提交了两个APP相关的漏洞并获得了$1750美金奖励,目前,漏洞已被成功修复,在此我打算公开详细的漏洞发现过程,以便其他AP...

2297
来自专栏FreeBuf

利用USB橡皮鸭在目标机器上启动Empire或Meterpreter会话

今天我将教大家如何使用Rubber Ducky在渗透中建立Empire或Meterpreter会话连接。然而对于Ducky而言,想要完成大多数现实场景中的USB...

3737
来自专栏FreeBuf

趋势OfficeScan系列产品漏洞分析

作者 Shadowkeeper OfficeScan是趋势科技开发的一套专为网路环境的桌上型电脑和行动用户端所提供的即时、全面的防毒解决方案。安全公司Silen...

2368
来自专栏FreeBuf

一个登陆框引起的血案

客户给的测试范围,或者挖众测时,很多时候都只有一个简单的登陆框,想起当初的苦逼的我,只能去测测爆破弱口令,而且还是指定用户名爆破密码这种,当真是苦不堪言;

1470

扫码关注云+社区