多重样本释放——远控键盘记录器
本帖最后由 老坚果 于 2024-6-11 19:34 编辑### 基本信息
报告更新日期：2024/5/24
样本发现日期：2024/5/13
样本类型：下载器+加载器+远控
样本文件大小：33,214,784
样本文件MD5 校验值：de38470e9ccb7302dac8f84b5a941b77
样本文件SHA1 校验值：981731432296b773b3936a274aa8bdbcaf141298
可能受到威胁的系统：Windows 7/10
### 简介
［713527.exe］是一个网络下载器，通过下载远控程序，对被攻击的机器进行长期的控制
### 被感染系统及网络症状
感染后，界面操作会出现轻微卡顿。在样本执行时，会产生HTTP的下载数据，且攻击成功后将长期发送加密后的tcp数据。
#### 文件系统变化
将在`C:\Users\Administrator\AppData\Local\Microsoft\Windows\INetCache\` 路径下创建或修改文件`Content.IE5`、`IE`
将在用户的Application Data目录下创建`MyData`目录
#### 网络症状
与IP`123.99.200.160`有密切的联系。
### 功能介绍
该恶意样本执行后，会远程下载一个加载器；加载器再通过创建一个托管运行平台，执行最终释放的远控程序。具体分析如下：
#### 71357.exe
样本摘要 SHA1:981731432296b773b3936a274aa8bdbcaf141298
该可疑样本1 被运行后，会进行如下操作：
1. 使用延时功能延迟动态分析的进度
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522104455385.png)
2. 在IP`123.99.200.160`的`5172` 端口下对名为`1600.bin`的可疑文件2进行下载操作：
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522111506893.png)
3. 将下载的文件直接放入内存，可疑样本1 进行第一次解密后调用1600.bin文件首字节，执行被下载的可疑文件1600.bin
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522140955230.png)
4. 解密完成后，调用首字节执行可疑文件2 **1600.bin**。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522141132314.png)
#### 1600.bin
样本摘要 SHA1:a7ad868f0d37b1ba10cfb508c426166972f694e6
到这里71357.exe作为下载器的工作基本结束。接下是1600.bin文件的工作：
1. 可疑样本2 在执行过程中对自身再次解密，后从动态导入四个.dll文件
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522145221176.png)
2. 导入函数,并将导入的函数地址存入以下红框内，创建代码执行环境。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522152828990.png)
3.创建一个CLR代码托管执行环境，并在环境中通过安全数组释放一个**.net可执行文件**进行托管。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522153617856.png)
4. 将安全数组及数组中的数据一起销毁，防止释放的样本泄露
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240522154129249.png)
#### .net可执行文件
样本摘要 SHA1:64f73a8d13c1ad1584e3c10e8598b900cbc74efd
1. 在当前用户的应用数据文件夹下创建一个名为 "MyData" 的目录，并在这个目录下创建键盘勾取的管理配置文件及输出文件。创建配置文件后，对网络进行加密配置。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523104927619.png)
2. 对自身信息进行解密初始化，在解密前将密钥通过解码字符串`VenomRATByVenom`派生出解密的密钥。通过动态调试解析密钥后可以解密出一些关键信息，例如远控数据进行交互的端口为`4449` ,IP没有发生变更，以及疑似远控进程的名字`Ebx RAT 远控 v10.1.0`
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523145900117.png)!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523150049689.png)
3. 尝试删除注册表项`Software\\BABCE2290AAAFDF60775`后，对机器进行探测是否支持Windows 32系统进程以及检测是否为虚拟机，
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523160258727.png)
4. 通过对amsi.dll打补丁的方式，企图绕过后期检查时的病毒扫描探测，并创建进程互斥锁，保证同时运行一个进程。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523160650630.png)
5. 利用多线程来控制恶意文件的启停，当系统内存中出现样本分析工具相关的字段时，线程控制恶意进程关闭；样本分析进程关闭时，则启动恶意样本进程。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523161710190.png)
6. 如果执行权限为管理员，将在关机操作时，将自身标记为关键进程，保证其后续运行。
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523162840275.png)
7. 将杀死cvtres进程，伪装自身，并长期将键鼠勾取的数据发送给`123.99.200.160:4449`
!(https://pocosin.oss-cn-beijing.aliyuncs.com/image-20240523171107225.png)****
#### 相关服务器信息分析
该样本与IP123.99.200.160有密切关系，但不排除该IP为跳板IP的可能性。
#### 预防及修复措施
可通过及时更新病毒扫描库进行预防；若已感染，建议重做系统 文件系统变化
将在C:\Users\Administrator\AppData\Local\Microsoft\Windows\INetCache\ 路径下创建或修改文件Content.IE5、IE
将在用户的Application Data目录下创建MyData目录
C:\Users\Administrator\AppData\Local\Microsoft\Windows\INetCache\目录下有Content.IE5（需要右键管理员取得所有权才能打开）、IE
C:\Users\Administrator\Application Data（需要右键管理员取得所有权才能打开） 目录下没有MyData目录
我这是不是中毒了？ 这些 总是会干扰小白的电脑 大佬思路清晰，讲解细致，很厉害{:301_993:} 标题建议需改一下，感觉写成样本行为描述相关的信息更好一些。 学习一下 厉害，学习了 写的真好，学到了 标题改成 样本行为描述相关的信息 ，作者应该这么起标题，让我们更好的明白文章内容描述 厉害，感谢 厉害,谢谢楼主分享