Thallium病毒分析

孤客浮舟

0x00 前言准备
病毒类别：Thallium
实验环境：win10
分析工具：火绒剑
IDA
x32dbg
die
procmon
在网上看到这样一个病毒样本，以新冠疫情为诱饵针对韩国的攻击，原文件是一个doc

大概这样诱导用户点击，鉴于我的虚拟机没有装读文档类的软件，而且宏代码只是下载了一个文件，我们不去分析宏代码，直接分析下载的文件。

0x01 样本基本信息
doc样本信息：

下载的payload基本信息：

病毒样本从微步云获取

0x02 行为分析
我们把获取到的payload后缀改成exe，打开火绒剑和procmon监视行为
1、将自身拷贝到系统文件夹下

2、网络请求行为


0x03 逆向分析
首先第一步是查壳

没壳，32位，所以我们直接拉进ida
这是一个MFC写的程序，如果我们直接从winmain来看的话会看到一堆看不懂的函数（也可能是我没分析过MFC程序的原因吧）

一堆Afx开头的函数，是MFC的特征
我们去看看别的函数，有没有什么切入点。
我们仔细观察会发现，我们在一开始运行程序的时候，cmd弹窗是隔了一会才弹出来的，想到应该是sleep或者大循环，果然，我们找到了如下代码：

我们注意一下第一个循环，是一个很大的循环，就是我们有延时的原因。
循环结束之后，先用VirtualProtect函数更改0x422548到0x42A548的内存属性为0x40，也就是可读可写可执行，完事之后调用401070，这块不能反汇编，我们看看汇编代码

不断地在jmp，看来这里是做了反调试，我们一点点的来看汇编代码。
首先注意这里

把422548地址传给eax，这个地址是我们刚才更改内存属性的地址

往下看，这里是把刚才的地址内容与4330c0的内容不断地在异或，看来这是一个解密函数

下面还在解密，第一次异或之后进行一个not运算，再与4330c1进行异或

最后把解密之后的结果放回原位

会进行77E6h次这样的解密，这样解密之后，我们观察下面EnumChildWindows里EnumFunc的地址


就是在这个解密的范围之内的，所以我们可以动调跟过去看看解密之后在干什么。用x32dbg在427068处下断点跟过来。

我们简单的跟一跟看看能发现什么。
发现明显停顿

果然，和之前一样的循环

注意eax，发现奇怪的字符串，猜测是解密字符串

注意运行到这里的时候，有弹出了cmd进程框，可能是把我们的进程重新启动了一次。

这一段观察寄存器可以知道是在动态加载API
这里我卡了好长时间，因为一直没找到解密之后的程序放在了哪里。后来通过定位重启进程那一块，终于找到了解密之后的程序哈哈哈

然后通NtResumeThread、ZwSetContexThread进行傀儡进程注入



整体看起来这也是一个加载器，我们dump下俩这个程序，去分析解密之后的那个程序。
用ida打开这个程序，我们发现字符串都很奇怪，然后发现401900是个解密函数

看一下交叉引用，很多地方都调用了这个解密函数

其中这个地方很值得我们注意

动调我们跟过来，看看解密之后的字符串是什么

注意eax，这就是我们揭秘之后的字符串，可以看到，这是一个杀软的名称，往后看几个，解密出来的都是杀软的名称，所以猜想这应该是在判断程序有没有杀软。
我们看一下后面的程序

如果没有10和11对应的杀软norton和sophos，那么进行下面的程序（咱也不知道为啥这么怕这俩杀软）
下面的程序是在创建一个文件，我们在行为分析的时候发现了他在系统文件夹下创建文件，动调跟过去看看是不是一样的。

对应的参数果然是一样的，接着向下看。

往下跟发现了cmd的行为，看看这里执行了什么cmd的命令

是加到启动项的cmd，哦吼，发现了新的行为，有趣。
还剩最后一个大块401b40没分析，这里有很长的代码，慢慢来看。

上来也是很多的字符串解密，我们来动调看看解密之后是什么字符串，有没有什么有用的信息

出现了！目标IP，尝试这访问了一下，进不去，看来应该是挂掉了。我们再看看他会返回什么给IP（可以留意一下中间解密出来的信息，有id，vs和版本号等等，也挺有趣的）

我们看到，这里有id，机器信息之类的一些东西，全部返回给了目标IP，然后下面就是一个用真循环，应该是等返回IP发命令，没什么好看的了，也可以看看401B40里解密的字符串，是一些关于post头的，大体上这个病毒分析完了。

0x04 总结
最后我们总结一下这个病毒运行的整体流程：
1、以doc文档的形式传播，执行宏代码后下载后续payload
2、payload解密程序段，创建傀儡进程运行最终的shellcode
3、在系统文件夹创建自身文件
4、加入自启动
5、获取机器信息发送给对应IP
over

frankB4

这就是大佬吗ilil

whngomj

谢谢分享

huiyuan52110

谢谢分享  牛

guangzisam

好厉害。分析的真好

aonima

学习了 增加知识

w507710214

大佬牛逼

阿高mango

学习了 增加知识

zhrmghgtw

谢谢分享

呆若木鸡

。。。看不太懂，慢慢研究