DocuSign网站用户资料泄露 病毒团伙利用邮件疯狂作恶
一、综述近期，火绒安全实验室发出警报，著名的美国数字文档签署平台 DocuSign的用户正在遭受病毒邮件的攻击，该平台在全球拥有2亿用户，其中包括很多中国企业用户。请DocuSign的用户提高警惕，在收到相关邮件时仔细查验真伪，不要轻易打开邮件正文中的word文档查看链接。
http://bbs.huorong.cn/data/attachment/forum/201705/21/104806xgmv1b8tfzrgzgf1.jpg
火绒安全团队根据截获的病毒邮件分析和溯源，发现知名的数字文档签署平台DocuSign遭到黑客入侵，导致用户资料被泄露。病毒团伙得到用户信息后，伪造了一个假域名“DocuSgn”（比DocuSign少一个字母i），从这里向用户发出病毒邮件，病毒邮件伪装成会计发票，由于邮件标题及正文均使用 DocuSign 品牌标识，充满迷惑性，诱骗用户下载含有恶意代码的word文档，当用户打开文档时，系统会询问用户是否打开被禁用的恶意宏代码，如果用户启用被禁宏，便会开启病毒的多次接力下载，最终下载并运行Zbot。（如下图所示）
http://bbs.huorong.cn/data/attachment/forum/201705/21/104904zy2fbm22e8a6w8gg.jpg
本次病毒邮件攻击的受害人群仅限于DocuSign用户，火绒安全通过虚拟行为沙盒可以检测出恶意行为，所以无需升级即可彻底查杀病毒，并且通过“恶意网址拦截”功能，拦截假冒域名docusgn.com。
二、事件分析
近期，火绒工作人员收到了一封来自"docusign"的邮件，经火绒工程师确认，这是一封伪装DocuSign的钓鱼邮件。图中发件人的邮箱地址为dse@docusgn.com，和官方docusign.com有一字之差，如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201705/21/105036nsps6tkjstptqul6.jpg
火绒一共收到4封正文相同的邮件，只是下载文档的地址变换了4次。分别如下：
hxxp://hertretletan.ru/file.php?document=MjEzM3pob3VqdW5AaHVvcm9uZy5jbjYxODg=
hxxp://search4athletes.com/file.php?document=MDY2NHpob3VqdW5AaHVvcm9uZy5jbjI1MTg=
hxxp://tannareshedt.ru/file.php?document=NjQzNXpob3VqdW5AaHVvcm9uZy5jbjcwMzE=
hxxp://lasvegastradeshowmarketing.com/file.php?document=NjE3Nnpob3VqdW5AaHVvcm9uZy5jbjU2MTA=
点击“REVIEW DOCUMENT”下载包含恶意代码的Word文档：
http://bbs.huorong.cn/data/attachment/forum/201705/21/105227d7ka444vffs7szv7.jpg
下载的文档内容也是相似，只有一副图片。火绒初步怀疑该恶意文档是使用MetaSpolit工具生成。打开文档后，Word会询问用户是否打开被禁用的恶意宏代码，如下所图：
http://bbs.huorong.cn/data/attachment/forum/201705/21/105255of1zdqn3335dyyrc.jpg
如果按照钓鱼文档的说明，关闭安全警告启用宏，就会触发文档中的恶意脚本，脚本执行过程中会进行多次解密，解密数据来自于宏脚本窗口中的控件对象。控件对象数据如下：
http://bbs.huorong.cn/data/attachment/forum/201705/21/105937ny0467f47ymsijd1.jpg
关键解密过程如下：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110004w6wofb5obojq2ob2.jpg
控件对象数据最终会解密出包含恶意代码的PE文件，然后启动系统进程svchost.exe，将解密后的病毒注入到svchost.exe中执行：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110239cs474w49rw4wt7kn.jpg
被注入的svchost.exe还是一个下载器，联网后下载另一个病毒程序"BN2589.tmp.exe"到TEMP目录并执行。
通过分析， “BN2589.tmp.exe”是一个被混淆器多重加密的Zbot。病毒会启动explorer.exe作为傀儡进程运行恶意代码：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110347bdtfqkay0utmh7d8.jpg
上图中Explorer被病毒Patch了入口点代码，确保在Explorer恢复线程后，可以从入口点跳转到注入的恶意代码，随后跳转到恶意代码入口点继续解密：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110422bc5crul8wmm44llc.jpg
注入到explorer的恶意代码是一个混淆后的动态库，其导入表是经过加密进行存放的，在动态库被注入后会先对其导入表进行修复，修复后进会保留函数地址，并对函数名部分进行擦除：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110505mz1qwnqpangzvanu.jpg
其父进程注入explorer时会在其内存块其实地方记录下一段加密的用户配置信息和启动程序路径：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110612laauzipkpwdqppry.jpg
http://bbs.huorong.cn/data/attachment/forum/201705/21/110612ctwhvbs00s1jwhyq.jpg
病毒主逻辑中，首先会检测虚拟机进行反调试：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110751tr82i20loyi9ynwp.jpg
http://bbs.huorong.cn/data/attachment/forum/201705/21/110751o919lvinyks73t10.jpg
该样本中所使用的所有资源都被加密：
http://bbs.huorong.cn/data/attachment/forum/201705/21/110920sqp0pslt4kj0s65z.jpg
通过解密可以得到C&C服务器域名如下：
http://hargotsinlitt.com/bdk/gate.php
http://mafeforthen.com/bdk/gate.php
其程序运行中会不断的尝试联网，获取C&C传回的数据信息。在样本中我们还发现大量DNS服务器，如下：
185.121.177.53
185.121.177.177
45.63.25.55
111.67.16.202
142.4.204.111
142.4.205.47
31.3.135.232
62.113.203.55
37.228.151.133
144.76.133.38
这些DNS服务器具有DNSCrypt功能，推测其目的是加密访问病毒C&C服务器，如下：
http://bbs.huorong.cn/data/attachment/forum/201705/21/111138zlnjj1zlcrrtjlr7.jpg
http://bbs.huorong.cn/data/attachment/forum/201705/21/111138nf8nqc8nups8zq88.jpg
完整的解密后数据：
http://bbs.huorong.cn/data/attachment/forum/201705/21/111229vapdfof9pnnn5hsz.jpg
根据病毒的行为和复杂程度，结合上图中红色框中的解密出来的字符片段，但是通过此前泄露的ZBot源码，可以断定这就是Zbot无疑：
http://bbs.huorong.cn/data/attachment/forum/201705/21/111323muv779ahcm4mkhkk.jpg
Zbot是一个历史悠久且功能复杂的木马程序，因为源码的泄露。使得任何人都可对其修改，我们可以从之前泄露的Zbot源码看到病毒有以下主要行为：
1.获取浏览器cookies，flash player cookies, FTP密码和email密码。
Zbot会针对不同的FTP和email客户端，读取其保存账户信息的注册表或文件，之后将收集到的信息打包发送到病毒作者的C&C服务器。从下面两张图中，我们可以看到Zbot能够盗取市面上主流FTP和email软件的账户信息。
http://bbs.huorong.cn/data/attachment/forum/201705/21/111541dpv1lilfukpkpppl.jpg
http://bbs.huorong.cn/data/attachment/forum/201705/21/111541m1urg9duu46u49g1.jpg
2.HOOK InternetReadFile 和 InternetReadFileExA函数，在获取网页时向网页中注入代码获取用户的账户信息：
http://bbs.huorong.cn/data/attachment/forum/201705/21/111633nkilut3k34fw0n2n.jpg
3.HOOK GetClipboardData 函数获取剪切板信息：
4.HOOK TranslateMessage函数，拦截程序消息，当为按钮按下消息时，截屏保存图片。当为键盘按键消息时，则记录按键信息。如下图所示：
http://bbs.huorong.cn/data/attachment/forum/201705/21/111809ym7bqm8mwxbicf1m.jpg
除了上述介绍的几个函数外Zbot还HOOK了一些系统API，和上述方法类似，主要用于获取用户信息，这里就不再详细列举。
Docusign是数字文档签署平台，其客户多是企业用户。此次Zbot攻击，非常有针对性，结合Zbot的行为， 不排除病毒会窃取商业资料，网银密码、等企业关键信息。
火绒在拦截到病毒样本之前就已经可以对相关病毒样本进行查杀，并且在拦截到病毒当天就升级了恶意网址拦截，阻拦了虚假域名docusgn.com。
http://bbs.huorong.cn/data/attachment/forum/201705/21/112138z8a1l0vee185eesl.jpg
三、附录
样本SHA1：
Eml652eb7097d327cae8bd8a1d0d8e606f6a77603c899d84db0b071f0db97dc9d024349c3f4edb66911a5f30b73103754923c568d7548af56fceed148b5eda9ac8e9b21c969c11d05337892e44fa9c1c045DOCcb6797ff6eb43748c07faaa7bf949a42929a5220d6eefe9314ff0c581acf26d5a647e40c9d12fcd8PEa809de46a2e21ac6aab7b66dbaa2206332935af3ae76db7f24a111ca022b00d29fb08cc76cbab41b
分析报告下载链接：http://down4.huorong.cn/doc/docusign.pdf 每一步的注释我都打上了，就不作太多解释了，如果有不明白的可以回复问我，如果有大佬能优化一下这个，那就再好不过了
小生在这先谢谢大家观看我的帖子 厉害厉害 支持支持，厉害 虽然已经不用火绒，但是还是点赞 楼主大神啊，杀毒软件的高级工程师啊。 给火绒的大光头工程师点个赞{:17_1078:} 虽然已经不用火绒，但是还是点赞
感谢大佬。 厉害了，我是看不懂的 支持支持。