近期，火絨威脅情報系統(tǒng)檢測到后門病毒偽裝成“36種財會人員必備技巧（珍藏版）.rar”在微信群聊中快速傳播。經(jīng)火絨工程師分析發(fā)現(xiàn)，用戶打開解壓后的.exe文件后，該病毒則會運行，隨后執(zhí)行終止殺軟進程、禁止殺軟自啟動，以及操控受害者終端并執(zhí)行文件監(jiān)控、遠程控制、鍵盤記錄等惡意行為，對用戶構(gòu)成很大的安全威脅。 |
|
在此，火絨工程師提醒大家時刻注意群聊中發(fā)送的陌生文件，如有必要先使用安全軟件掃描后在使用。火絨安全產(chǎn)品可對上述病毒進行攔截查殺，請用戶及時更新病毒庫以進行防御。 |
 |
| 樣本分析 |
 |
病毒的執(zhí)行流程 |
由于殺毒軟件 Zemana 的反病毒驅(qū)動啟動時，會根據(jù)注冊表項 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ZAM_BootCleaner\DeleteServices 中的值 來刪除對應(yīng)的驅(qū)動注冊表項，黑客利用這一特性，在病毒啟動后向該注冊表位置中寫入其他殺毒軟件的驅(qū)動注冊項名，來刪除其他殺毒軟件的驅(qū)動注冊項，如下圖所示： |
 |
| 向注冊表寫入代碼 |
| 會被刪除的驅(qū)動列表，如下圖所示： |
 |
驅(qū)動列表 釋放并加載ZAM殺軟驅(qū)動，相關(guān)代碼，如下圖所示： |
 |
釋放驅(qū)動并加載 之后再利用該驅(qū)動的接口來終止其他殺毒軟件進程，相關(guān)代碼，如下所示： |
 |
終止其他進程相關(guān)代碼 通過鏡像劫持功能，禁止殺毒軟件進程啟動，火絨劍監(jiān)控到的行為，如下圖所示： |
 |
火絨劍監(jiān)控到的行為 等禁用殺毒軟件之后，會從C&C服務(wù)器獲取對應(yīng)的配置文件，根據(jù)配置文件下載 Loader 模塊，相關(guān)代碼，如下所示： |
 |
獲取配置信息 根據(jù)配置信息下載 Loader 模塊 CMO03.exe 到 C:\Users\YourUserName\AppData\Roaming\Microsoft\Windows \StartMenu\Programs\Startup\ 目錄下并執(zhí)行，火絨劍監(jiān)控到的行為，如下圖所示： |
 |
火絨劍監(jiān)控到的行為 該模塊從資源中解密，并執(zhí)行 shellcode1，相關(guān)代碼，如下圖所示： |
 |
解密執(zhí)行 shellcode1 在 shellcode1 中會從 C&C 服務(wù)器接收、執(zhí)行 shellcode2，相關(guān)代碼，如下圖所示： |
 |
接收、執(zhí)行 shellcode2 在 shellcode2 中會內(nèi)存加載后門模塊，相關(guān)代碼，如下圖所示： |
 |
內(nèi)存加載后門模塊 該后門模塊具備各種惡意功能如：鍵盤記錄、文件竊取、遠程控制等惡意功能，以下對一些較為重要的惡意代碼進行舉例說明， 遠程控制相關(guān)代碼，如下圖所示： |
 |
遠程控制 執(zhí)行 C&C 服務(wù)器下發(fā)的程序，相關(guān)代碼，如下圖所示： |
 |
執(zhí)行 C&C 服務(wù)器下發(fā)的任意程序 鍵盤記錄，相關(guān)代碼，如下圖所示： |
 |
鍵盤記錄 二 附錄 C&C： |
 |
| HASH： |
 |
|
||||
Copyright© 重慶秉通精益信息技術(shù)有限公司 | |
渝公網(wǎng)安備 50010702502937號