网站 › 『病毒分析区』 › .net分析--Pony邮件窃密木马

659525 发表于 2019-12-3 18:16

.net分析--Pony邮件窃密木马

本帖最后由 659525 于 2019-12-5 10:31 编辑

#### 0x0 前言

Pony Fareit木马.net分析--通过STMP协议的.net样本挺多的，写下来当样本记录下

#### 0x1 样本信息(截图自Virus total)



#### 0x2 分析过程

1.第一段解密：对资源字符串进行异或解密，解密方式为每个双字减去0x58D1(22737)然后与0x8E异或



2.第二段解密：将异或获得的XorCode进行Base64解码，得到一个PE文件(dump1，也是.net)





3.dump1内有检测虚拟机的函数IsVM(但是并未执行这一函数体，我们待会进去仔细分析一下)



4.异或解密资源，并加载其运行(异或Key为：CnajNowpjKsL)。由此可以发现dump1依旧是一个外壳程序，解密出真正的病毒本体(dump2，也是.net)





5.dump2开始干活，先是常规三连：拷贝，隐藏，自启动







6.进入木马的特色部分：窃取各个浏览器Cookie，以及mail的内容等等





7.将获取的Cookie打包成zip，绑定STMP邮箱后发送(zip在发送成功后会删除，从而清理痕迹)



#### 0x3 总结

1..net调试一般选择从入口点开始调试，在调试之前最好在静态分析，找到关键处代码(不然跟不进去)

2.dump2是一个常见的通过STMP窃密的邮件木马，这里我参考了前辈的分析：<https://blog.csdn.net/chr8230401/article/details/100664775>

3.dump1其实有反虚拟机检测，但是作者并未开启，我们又想进去一探究竟，怎么办呢，只能强改跳转看了(dnSpy的使用感不太好)：

先尝试右键改下逻辑跳转，发现只能改到当前的那一行(改了也无效，想直接改到函数内部也不行，不知道啥原理)



然后只能强行改内存了，这种方法也不太友好(只对当前调试程序一次有效，重新F5都要重新改)：

先右键->查看到反汇编,然后通过汇编定位(Crtl+F搜索函数名快速定位)到关键跳转，内存窗口中crtl+G跳转至该地址，查找对应OPCode修改即可(比如这里是0x74 je->0x75 jne).



反虚拟机的操作基本上是查询注册表来比对返回值有无vmware之类的关键字符串

附：第一次发帖，找不到预览按钮；md格式上传的图都挂了要重新贴，有没有铁子教一教小伙

Hmily 发表于 2019-12-3 18:39

Discuz模式下发帖页直接就是预览了，没有单独的预览功能，MD的图片用论坛自带的图片上传功能上传，然后再贴到正文中就行了，演示看这里https://www.52pojie.cn/misc.php?mod=faq&action=faq&id=29&messageid=36

Devil太初 发表于 2019-12-3 21:06

看到木马我头都疼啊{:1_924:}

cokcokkkk 发表于 2019-12-4 02:43

学习一下，技术就是应该多学习啊

wanghongbin 发表于 2019-12-4 07:58

我来学习一下

sanityko 发表于 2019-12-4 08:27

看着感觉好深奥，你们是研究了多少年了啊，佩服

13697i 发表于 2019-12-4 08:37

楼主太厉害了！！！

yi辈子的诚若 发表于 2019-12-4 09:35

看到大佬回复这贴必精华

659525 发表于 2019-12-4 11:04

Hmily 发表于 2019-12-3 18:39
Discuz模式下发帖页直接就是预览了，没有单独的预览功能，MD的图片用论坛自带的图片上传功能上传，然后再贴 ...

谢谢了，发帖说明一开始有看的，帮助挺大

chmod755 发表于 2019-12-4 11:05

楼主有样本吗？想跟着分析分析学习一下。

查看完整版本: .net分析--Pony邮件窃密木马