大灰狼远控木马分析

pj66666666 · 发表于 2022-5-26 14:23

本帖最后由 pj66666666 于 2022-5-26 14:39 编辑

样本信息：
文件: C:\Users\15PB\Desktop\SB360.exe
大小: 40960 bytes
修改时间: 2020年5月17日, 14:36:36
MD5: 0902B9FF0EAE8584921F70D12AE7B391
SHA1: F71B9183E035E7F0039961B0AC750010808EBB01
CRC32: 378E90E3

利用die查看程序没有保护壳，
可以利用IDA进行分析。

直接查看程序入口函数，发现程序不断调用Sleep函数来干扰杀毒软件。

然后通过解密函数对配置信息进行解密

解密函数的分析，通过rc4算法解密

首先根据解密后的配置信息决定启动方式，直接启动，通过服务启动，修改注册表
SOFTWARWE\\Microsoft\\Windows\\CurrentVersion\\Run开机启动，然后读取并保存
注册表信息，最后进入真正的入口函数。
入口函数：

occupy_file函数：

病毒根据配置信息决定是否以独占方式运行，是病毒无法被删除
通过AdjustTokenPrivileges提权
通过OpenProcess打开System进程
通过CreatFile打开独占大文件句柄
通过DuplicateHandle将文件举报复制到System进程中
通过Socket_main函数进入和服务器通信的流程

connect_server函数：

recv_proc回调函数：

接下来初始化socket，创建一个线程，循环接受从远程主控端发来的数据

远控功能：

先从远程服务器下载插件动态链接库，然后动态申请内存，模拟pe装载流程，将恶意代码加载到内存，通过模拟GetProcAddress调用动态链接库的导出函数。
病毒对动态链接库文件格式做了加密，修改pe前两个字节，将前两个字节修改为MZ，
用ida进行分析。

语音监控：
使用Windows波音音频API实现录音功能

DDOS攻击：
会开启一个线程循环向指定服务器发送攻击数据包

查看磁盘目录：
使用GetLogicalDriveStrings获取当前所有驱动器根路径的剩余空间

键盘记录：
创建一个线程，循环使用GetKeyState，GetAsyncKeyState API循环遍历所有键盘的虚拟键状态，如果状态为按下，就将按键信息保存到文件中。

检查窗口：
通过EnumWindows遍历所有窗口，检查指定的窗口是否存在

进程窗口管理：
通过进程快照遍历进程，通过EnumProcessModules函数获取进程的模块信息

打开网页：
通过注册表路径HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command获取浏览器的路径，最后通过CreateProcessA创建浏览器进程，打开主控端传递的URL地址。

pywm · 发表于 2023-3-2 23:03

虽然看不懂，但还是认真的看了一遍

Satori · 发表于 2022-11-24 08:42

luted 发表于 2022-8-3 21:50
请问如何防范呢 , 是不是把高危端口封了就好了

高危端口封了也不是一劳永逸的方法，主要还是不要乱下载东西，陌生人的链接不要点，下载东西一定要在认证的官网上下载

咔c君 · 发表于 2022-5-28 11:09

学习了不错

9992979 · 发表于 2022-5-28 11:34

历害，楼主

爱折腾 · 发表于 2022-5-28 11:49

学习了，分析NB

skyadmin · 发表于 2022-5-28 13:51

最好用的远控

xuexiba · 发表于 2022-5-28 14:12

写的很详细，楼主用心了。

photocs · 发表于 2022-5-28 15:10

学习啊，不错的呢！

metoo2 · 发表于 2022-5-28 15:10

分析很细致，学习了

bingpocanying · 发表于 2022-5-28 20:10

学习了！

smallfiveya · 发表于 2022-5-30 10:51

学习了不错

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 大灰狼远控木马分析

免费评分