快捷搜索:  网络  渗透  后门  CVE  扫描  木马  黑客  as

云控攻击之“人生在世”木马分析

‍近期一款名为“人生在世”的木马家族异常活跃,它隐藏在“小马激活”、“种子搜索神器迅雷云播版”、“宝宝CF刷枪软件”、“游戏启动器”等软件中,具有较强的免杀能力和大规模传播能力。

‍‍“人生在世”木马的主要特点是纯shellcode类云端控制,木马的云控代码藏在几张美女图片中,图片和代码以“人生在世”这四个字作为“接头暗号”。

‍‍‍‍此外,该木马组装了“贝壳ARP防火墙”和“ADSafe”的两个程序,通过白利用方式(针对合法软件的DLL劫持)加载木马执行,并采用文件回写、驱动保护、远程注入等多个方式隐藏自身。木马激活后会接受云端控制,向受害者电脑安装大量软件赚取推广费,还会收集受害者信息,从而进一步推送更多恶意程序。

木马分析

以“小马激活”工具被捆绑的木马样本为例分析:

0×00 逝去的小马激活

小马激活工具官方公告:

云控攻击之“人生在世”木马分析

网页置顶声明:

云控攻击之“人生在世”木马分析

虽然小马激活工具已经发了公告和声明,但怎奈网上浩如烟海的搜索结果真假难辨。这也就给了居心不良者以可乘之机。

伪造的小马激活MD5为:b85507eaf961dae7216b32a99d5ea9dd

所谓的“小马激活OEM9”模仿得很真实,不仅图标和真的一样,界面也非常具有迷惑性。并带有Shenzhen WangTengda Technology Co., Ltd.签发的数字签名,用以躲避部分安全软件的查杀。

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

0×01 云控ShellCode

用户一旦上当,点击“一键永久激活Windows和Office”按钮后,木马程序便会启动,访问网络配置文件。地址如下:

hxxp://so.lyehk.com/yan.txt
hxxp://so.lyehk.com/so.txt

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

通过读取在线配置文件,得到一个“图片”文件的网址:

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

如图,目前配置文件为:

hxxp://cdn.pcbeta.attachment.inimc.com/data/attachment/forum/201505/20/142734eg5yntyabgf6yln6.jpg

而下载回来的jpg文件双击后可以正常打开,看起来只是个普通的图片而已(妹子身材不错……)

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

但实际上图片代码中有大量的病毒代码。木马主程序会将该“图片”写入到以下路径:

C:Program FilesCommon Filesaaa

云控攻击之“人生在世”木马分析

完成后,WEB黑客,木马主程序会从伪造的图片文件中,搜索“人生在世”的字符串。“人生在世”字符串之后的数据,即是一个完整的PE文件。

云控攻击之“人生在世”木马分析

云控攻击之“人生在世”木马分析

‍‍0×02 加载ShellCode

‍‍将后面的PE文件解出来,实际上是一个dll文件,该dll文件仅有要给导出函数:“a123”

Dll文件MD5:F3546FDE0E5E87F1176BA40790F6CCDE

云控攻击之“人生在世”木马分析

虽然是个dll文件,但实际上木马主体并没有把dll落成磁盘文件,而是直接在内存中加载函数并执行。

该函数会向%ProgramFiles%路径下释放ADSafe.exe和beikecmm.dll,并启动ADSafe.exe

云控攻击之“人生在世”木马分析

被释放文件MD5分别为:

ADSafe.exe : cb4eabb88e154e6e13b73ef7f6d4f6de
beikecmm.dll : c05ea3bcd40acc001370c1ad02c01985

其中ADSafe.exe带有有效的数字签名:Beike Internet Security Technology Co.,Ltd

云控攻击之“人生在世”木马分析

由于没有做足够的安全校验,ADSafe.exe会直接去动态加载同目录下的beikecmm.dll,这样在加载的同时,dll文件的DllMain函数即被执行

云控攻击之“人生在世”木马分析

‍‍

0×03 ShellCode * 3

‍‍

ShellCode Dll执行后,会从自身的资源中再解压出一段ShellCode,加载到内存中执行。

云控攻击之“人生在世”木马分析

而内存中的执行代码则如法炮制,去访问另一份在线配置文件,下载伪装的图片文件

hxxp://so.lyehk.com/kan.txt
hxxp://cdn.pcbeta.attachment.inimc.com/data/attachment/forum/201505/20/151014y100odo0u5lk0atu.jpg

图片如下:

云控攻击之“人生在世”木马分析

当然,接头暗号依然是——“人生在世”。

解出来的dll文件MD5为:48f025d14a689e58c1550dfed9cc47ed

同样是不落成文件,而是第三次直接加载在内存中执行。

‍‍‍‍0×04 伪装术

‍‍‍‍此时,加载了三重ShellCode的木马程序会向真的ADSafe安装程序目录中释放真的ADSafe主程序和一个adsCore.dll的dll劫持文件,用以迷惑用户。并将其添加至启动项:

云控攻击之“人生在世”木马分析

伪装正常程序的木马程序:

云控攻击之“人生在世”木马分析

木马通过“正常”位置释放“正常软件”并注册开机启动项的方式,实现开机自启动。启动后,注入系统进程,隐藏自身工作模块,绕开常规杀毒软件的检测。

‍‍0×05 作恶

‍‍之后,该程序通过网盘下载东方输入法、QQ浏览器、金山毒霸、百度杀毒、百度卫士、百度浏览器、火绒在内的大批推广软件,并将安装结果打点回传。

云控攻击之“人生在世”木马分析

木马在下次开机启动后,加载起来的木马驱动,用来结束杀软进程:

云控攻击之“人生在世”木马分析

木马查杀

木马在与杀毒软件的对抗中,变得越来越隐蔽,“人生在世”木马就是一个典型。从功能角度来说,“人生在世”大量使用云控结合shellcode的形式,成为真正的“云”木马,木马落到本地的仅仅是一个loader(引导器)模块,只负责在受害者电脑中活下来,并等待云控shellcode下发,功能代码均由云端直接发布,具有无需升级、实时更新的能力。

根据VirusTotal扫描结果显示,捆绑木马包目前只有7款杀毒引擎能够识别,国内只有360入围:

云控攻击之“人生在世”木马分析

木马工作模块更是只有5款杀毒软件能够检出:

云控攻击之“人生在世”木马分析

目前国内仅360安全卫士能够识别查杀该木马家族。

* 作者/360安全卫士,

您可能还会对下面的文章感兴趣: