• 构建年轻干部梯次培养链 2019-03-19
  • 孙实的专栏作者中国国家地理网 2019-03-15
  • 湖南师范大学举行研究阐释党的十九大精神国家社科基金重大专项学术研讨会 2019-03-15
  • [雷人]蠢货!土地处于不同的城市和地段,关联的资源不一样,价值也不一样。不然给咱俩同样面积的土地,咱的在北上广深,你的在边远山区,你干么? 2019-03-08
  • 国际社会持续热议上合青岛峰会:上合组织发展进入新阶段 彰显中国领导力 2019-03-08
  • 珍惜野生动物频现甘孜境内 生态环境质量不断提升 2019-03-06
  • "新经济形势下金融创新的变革与机遇"论坛 2019-03-06
  • 频道栏目
    神奇公式秒杀全国11选5 > 安全 > 网络安全 > 正文

    山西新11选五遗漏数据:负载恶意软件HawkEye的VB Inject样本分析

    2018-10-19 10:11:00         来源:[db:作者]  
    收藏   我要投稿

    神奇公式秒杀全国11选5 www.2zfa.com 概述
    恶意软件HawkEye的利用大多都是通过钓鱼邮件分发,利用office直接启动HawkEye主体或者一些经过加密的程序,本文中的VB Inject属于后者,也把重心放在了调试这个VB程序上。
    文件基本信息如下:


    PEID
    VB
    MD5
    3e3cec381975a0c4a3a2333370ca0799
    大小
    684KB
    修改日期
    2018/6/13
    VirusTotal上的该样本信息:

    病毒名大多为VBKrypt或者VBInject。
    0×02 行为监控

    将自身复制到C:\User\user\AppData\Romaing\WindowsUpdate.exe,创建C:\User\user\AppData\Romaing\pid.txt,C:\User\user\AppData\Romaing\pidloc.txt,并将WindowsUpdate.exe加入自启动项。
    用wireshark抓网络行为,发现该样本会访问//whatismyipaddress.com/,并与yandex邮件服务器建立连接。

    0×03 反调试
    因为是个VB程序,首先就想到用VB decompile反编译。效果如下:

    似乎是没不能看出什么,于是来调试一下。

    步过这个call之后,会跳转到一个错误指令:

    想到可能是因为反调试导致的,所以步入0x4012A1的call,然而里面的代码都是??閙svbvm60的,一个比较快能定位到主程序的办法就是通过VB decompile中显示的地址。于是我在0x4A07D6、0x4A0BC8下断。Form_Load中没有什么有用的信息,直接断到Form_Paint。

    这里做了一些字符串的操作,直接自动步过,然后来到下面这个call:

    回车进去看到有调用DllFunctionCall,这里会调用RtlMoveMemory很多次,复制一段内存:

    在循环结束的地方F4:

    单步之后发现程序会在下图位置运行起来,进入错误指令:

    跟进后,又来到下面的call(因为其他的call都有函数名__vbaxxx),回车进入后发现这个call也调用了DllFuncitonCall:


    调用了EnumWindows,这个函数一个参数是回调函数,所以需要留意。
    函数原型:
    BOOL EnumWindows( WNDENUMPROC lpEnumFunc, LPARAM lParam );
    lpEnumFunc是指向回调函数的指针,lParam是传递给回调函数的参数。

    看此时栈的状态,第一个参数位于0x12F4D8,在该处下断。
    然后F8->执行到用户代码,断到该处::

    单步到后面的jmp之后跳到下面的地址:

    这里call edx之后,跳到错误地址,该地址正确编码后的指令是:


    地址为0x48EA92,但程序却跳到了0x48EA93:

    注意到在call之前的一条adc指令,程序在这里加了1,导致跳转到0x48EA93,反反调试的话做到这里把这条指令nop掉就可以了,不过可以看看[ebx+2]的值是怎么决定的。

    返回去看到这里,就知道为什么了。
    fs:[esi](此时esi的值为0×18)指向自身(TEB结构),偏移为3的地址处是BeingDebugged, 0×01是被调试中:


    nop掉保存再调试。
    0×04 运行时解密
    从过了反调试的地址0x48EA92开始:

    干扰指令很多,还有一部分硬编码。一直单步,遇到call都最好跟进,这段代码中的call不多:

    调用DllFunctionCall得到EnumWindows的地址:


    这里可以直接步过:

    然后出现VirtualAlloc,然后同样DllFunctionCall得到VirtualAlloc地址,然后调用。

    分配了内存1,推断是要解密自身代码写入到地址:

    开始往这片内存写入内容,然后跳转到这个地址:

    单步到下图,又有一个反调试,同样是通过TEB读取PEB BeingDebugged的值:

    又调用一次VirtualAlloc分配内存2:


    跟到下面又发现对PEB结构的访问,偏移为0×68。
    其实不太清楚偏移0×68是什么,就查了一下:
    PEB有一个名为NtGlobalFlag(偏移量为0×68)的字段,程序可以挑战识别它们是否正在被调试。通常,当未调试进程时,NtGlobalFlag字段包含值0×0。在调试进程时,该字段通常包含值0×70。
    此时这个值正好为0×70,所以这个je不能跳。
    继续单步跟,会调用很多次DllFuncitonCall,可以看到获取了许多API的地址,如ShellExecuteW,WriteFile,CreateFile,VirtualProtect,CreateProcess等。
    接下来又分配了内存3,地址为:

    来看看分配的这三块内存的状态:

    目前除了刚分配那个不能执行,其他的都可读可写可执行:

    往内存0×3430000赋值:

     


    开始解码:

    解码完成后,有点PE头的样子了,只是少了标志性的”MZ”:

    调用GetCommandLineW,以获取的路径为参数创建子进程:

    调用ZwAllocateVirtualMemory在指定进程分配内存:

    将0x5A赋值给0×343600不完整的PE文件,后面还会写入’M’。

    然后调用ZwWriteVirtualMemory写入内存空间,写入的内容地址正是0×343600。

    父进程将解密出来要执行的PE写入子进程的内存,然后中止当前进程。
    0×05 样本主体
    在之前的行为监控中,注意到,样本在C:\User\user\AppData\Romaing\目录下生成了三个文件 pid.txt,pidloc.txt,WindowsUpdate.exe。这些功能都是通过解密出来的PE实现的。样本的VB代码只相当于一个外壳,运行时解密、创建子进程、注入进程等。提取出来的这个PE载入ExeinfoPE,发现这个程序是.NET Reactor类型的代码混淆。

    这里我用了de4dot-mod反混淆工具,不用工具直接动态调试也可以。

    去除反混淆后生成的文件变成了528KB,原文件大小为65512KB,用PEID打开,可以看到导入表只有一个动态链接库mscoree.dll,函数是_CoreExeMain。

    接下来尝试用.NET的反编译工具dnSpy试试。

    反编译成功后,发现该程序是恶意软件HawkEye,用于凭据窃取,包括电子邮件Web浏览器,Bitcoin钱包,反病毒检查,键盘记录等。
    相关TAG标签 样本 恶意 软件
    上一篇:分析一个用于传播Hancitor恶意软件的Word文档
    下一篇:Cyborg窃密木马及其工具和流程分析
    相关文章
    图文推荐
    热门新闻

    关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 神奇公式秒杀全国11选5

    版权所有: 神奇公式秒杀全国11选5--致力于做实用的IT技术学习网站

  • 构建年轻干部梯次培养链 2019-03-19
  • 孙实的专栏作者中国国家地理网 2019-03-15
  • 湖南师范大学举行研究阐释党的十九大精神国家社科基金重大专项学术研讨会 2019-03-15
  • [雷人]蠢货!土地处于不同的城市和地段,关联的资源不一样,价值也不一样。不然给咱俩同样面积的土地,咱的在北上广深,你的在边远山区,你干么? 2019-03-08
  • 国际社会持续热议上合青岛峰会:上合组织发展进入新阶段 彰显中国领导力 2019-03-08
  • 珍惜野生动物频现甘孜境内 生态环境质量不断提升 2019-03-06
  • "新经济形势下金融创新的变革与机遇"论坛 2019-03-06