黑狐”木馬分析報告

wyzsk發表於2020-08-19
作者： 騰訊電腦管家 · 2015/04/02 14:37

0x00 木馬簡介

騰訊反病毒實驗室近期捕獲了“黑狐”木馬的最新變種,這已經是該木馬從 2014 年初首次發現以來的第三個大變種,本次全國感染量近百萬。本文透過對“黑狐”木馬多個版 本的分析對比,來探究當前主流木馬在對抗殺軟技術、傳播渠道、獲利方式上的一些特徵 和線索,也為預知和防禦新的變種尋找思路。

0x01 特點

1.偽裝性好

該木馬與正常的軟體“混編”,使用者在開啟該木馬程式時,誤以為是正常的 程式。由於開啟過程中,沒有明顯的異常,且木馬的主要檔案是在執行後經過數輪的下 載才安裝到使用者機器中,在原始樣本中只含有少量程式碼,透過檔案體積等完全無法看出。

enter image description here

2.傳播迅速

使用惡意新聞簡單報、惡意便籤等各種傳播推廣渠道迅速推開,在很短的時 間內迅速感染近百萬臺電腦。當安全廠商監控到該木馬廣度過大後,會進行人工分析, 而人工分析地不徹底,就會導致木馬被設定為信任而不報毒。截止 3 月 31 日,黑狐木 馬的母體和子體在 VirusTotal 上包括騰訊電腦管家在內只有三家報毒。

enter image description here

enter image description here

圖 3. 截至目前,大部分安全廠商不報毒

3.隱蔽性強

該木馬使用了開機回寫、啟動刪除、驅動隱藏等技術,在電腦開機時,由系 統用木馬檔案替換系統檔案,在木馬啟動後,再用備份的系統檔案替換掉木馬檔案,因 此木馬檔案在系統關鍵位置存留的時間很短,且使用了 rootkit 技術,隱蔽性很強,絕大 多數安全軟體在電腦體檢和木馬掃描時不會掃描到木馬檔案及其啟動項。

enter image description here

圖 4. 使用登錄檔 PendingFileRenameOperations 方式實現自啟動

4.難以清除

由於該木馬駐留在 Winlogon.exe 程式中,該程式是 windows 使用者登入程式, 啟動地比安全軟體早,而關閉地比安全軟體遲。且在核心中含有 rootkit 保護驅動,即便 被掃描出來,也很難被徹底清除。

5.危害嚴重

該木馬是一個典型的外掛型遠控木馬,控制者隨時可以透過命令下發外掛, 而外掛可以由控制者任意定製。當前發現的外掛主要是進行流氓推廣,但只要控制者想 做,隨時可以下發盜號外掛、監控外掛、竊密外掛等可能給使用者財產、個人隱私造成嚴 重損失。

enter image description here

0x02 詳細分析

HSHZS.exe 行為

1) 正常的介面顯示、圖片格式轉換器

2) 建立一個執行緒,下載 http://adgeta.tryiuepx888.com/GetAds/? HSHZS.jpg

3) 從 jpg 檔案尾部提取資料,解壓後得到 HSHZS.dll,建立執行緒直接記憶體執行

4) 訪問 http://tongji.tryiuepx888.com/tongji.php,將本地磁碟序號資訊等上傳統計

enter image description here

HSHZS.dll 行為

1) 載入名為 A01 的資源,解壓後得到一個 PE 檔案,以下將其命名為 A01.dll

2) 將 A01.dll 以遠端執行緒的方式注入到系統 Winlogon.exe 程式中

enter image description here

A01.dll 行為

1) 下載 http://98.126.20.182:443/HenKew 並解壓,得到 HenKew.dll,記憶體執行

enter image description here

HenKew.dll 行為

1) 下載 http://98.126.20.182:443/YA20150218 並解壓,得到 YA20150218.dll,記憶體執行

enter image description here

YA20150218.dll 行為

1) 載入名為 RunWin 的資源,該資源是一個 PE 檔案,取名 RunWin.dll,記憶體執行

enter image description here

RunWin.dll 行為

1) 判斷是否在 Winlogon.exe 程式或者 svchost.exe 程式

2) 建立執行緒,不斷進行以下行為:

(1) 建立 C:\WINDOWS\System32\SET12.tmp(SET**.tmp)
(2) 修改登錄檔 PendingFileRenameOperations,實現重啟後用 SET**.tmp 替換cscdll.dll

3) 釋放 C:\WINDOWS\System32\Wbem\csvcoy.xsl(csvc**.xsl)

4) 複製%windir%\System32\cscdll.dll 到%windir%\Wbem\cscdll.xsl

5) 連線 C&C 伺服器,接收指令,目前發現的有

(1)下載檔案,WinExec 執行
(2)下載檔案,注入到其他程式執行

6) 載入驅動,在驅動中,實現以下兩個功能

(1)在驅動中透過檔案過濾隱藏 Set**.tmp、csvc**.xsl 檔案 (2)建立關機回撥,在系統關機時再次回寫登錄檔和檔案,保證不被清除

SET**.tmp 行為:(重啟使用)

1) 查詢並讀取 csvc.xsl 檔案,解壓得到 csvc.dll,記憶體執行,csvc**.dll 同 RunWin.dll

enter image description here

enter image description here

本文章來源於烏雲知識庫，此映象為了方便大家學習研究，文章版權歸烏雲知識庫！

相關文章