解密”Qadars”银行木马（中）

楚轩

明天发下啊第两阶段
1.搜集有闭零碎的数据；
2.将本身复造到位于“%AppData%\[random_path]\[random_file_name].exe”中的一个随机定名的文件；
3.树立一个在以后用户下一次登录零碎时运转本身的方案义务；
4.在注册表中创立注册表项，并存储AES减稀的数据(步调1中搜集的零碎数据)；
5.从“%AppData%\[random_path]\[random_file_name].exe”中运转下一阶段的可履行文件。
有一个额定的细节，歹意硬件在搜集有闭零碎的数据时，创立了一个风趣的构造。例如，在测试机上，歹意硬件创立的构造以下：

[Asm] 纯文本查看 复制代码

?

1

00 00 02 00 00 00 06 00  03 3C 80 5E 96 58 91 B607 54 A4 00 00 00 03 00  00 00 37 36 34 38 37 2D33 34 31 2D 38 36 31 39  31 30 33 2D 32 32 30 3634 00 2C 00 00 00 41 32  32 2D 30 30 30 30 31 0000 00 00 00 00 00 2C CC  C0 A8 22 31 A6 35 23 98E5 97 52 11 03 00 00 00  00 00 45 53 07 54 50 6F04 00 00 00 00 00 00 00  00 00 00 00 00 00 00 0000 00 00 00 00 00 00 00  00 00 37 34 34 30 32 0000 00 00 00 00 00 B8 03  00 00 80 5E 96 58 00 0100 00 EA 32 00 00 00 00  00 00 00 00 00 00 00 0000 00 00 00 00 00 00 00  00 00 00 00 00 00 00 0000 00 2C 47 6C C7 00 BA  0D F0 AD BA 0D F0 AD BA +0x02   dwNumberOfProcessors (SYSTEM_INFO)+0x06   wProcessorLevel      (SYSTEM_INFO)+0x08   wProcessorRevision   (SYSTEM_INFO)+0x0A   VolumeSerialNumber  +0x0E   InstallDate "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion"+0x12   DigitalProductID "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion"

计算上述构造的MD5集列并存储在当地。创立ASCII战Unicode格局化的字符串所暗示的MD5集列。例如，在测试机上：

[Asm] 纯文本查看 复制代码

?

1

00853D20  39 37 32 39 35 38 41 36  35 38 38 30 42 35 35 41  972958A65880B55A00853D30  30 45 42 44 35 35 35 39  30 37 38 43 31 37 33 35  0EBD5559078C1735 00853E58  39 00 37 00 32 00 39 00  35 00 38 00 41 00 36 00  9.7.2.9.5.8.A.6.00853E68  35 00 38 00 38 00 30 00  42 00 35 00 35 00 41 00  5.8.8.0.B.5.5.A.00853E78  30 00 45 00 42 00 44 00  35 00 35 00 35 00 39 00  0.E.B.D.5.5.5.9.00853E88  30 00 37 00 38 00 43 00  31 00 37 00 33 00 35 00  0.7.8.C.1.7.3.5.

两个MD5集列将战计算机称号衔接在一同(#做为分隔符)。然后计算出衔接后的字符串的MD5集列。那个MD5集列是一个歹意硬件运用的无独有偶的GUID。该歹意硬件运用了相反的算法，发生了相反的后果，那个后果关于每个被传染的零碎来讲是无独有偶的。
接上去，歹意硬件在“%AppData%”中创立了一个随机定名的途径并将本身复造到该目次中，文件称号是随机定名的可履行文件。例如，测试零碎上，该歹意硬件创立其本身的正本鄙人里的地位：

[Asm] 纯文本查看 复制代码

?

1	“%AppData%\MfzxAHCb\HQHKWbsv\PMqLMKtj\oPQVNiRgs.exe”

新创立的正本的MD5集列与字符“BOTNET2”存储在一同：

[Asm] 纯文本查看 复制代码

?

1	0012F628  8A 15 4F AE 3B 78 B4 8D  B1 71 C4 C9 49 99 E0 C0  è.O«;x|.|q-+IÖa+0012F638  42 4F 54 4E 45 54 32 00  00 00 00 00 00 00 00 00  BOTNET2.........

歹意硬件创立的方案义务将在以后用户下次登录零碎时运转。那是经过履行以下挪用挨次完成的：

[Asm] 纯文本查看 复制代码

?

1

1.CoCreateInstance(creates ITaskScheduler, CLSID {148bd52a-a2ab-11ce-b11f-00aa00530503},  IID {148bd527-a2ab-11ce-b11f-00aa00530503}).2.ITaskScheduler::NewWorkItem(creates ITask, CLSID_CTask {148BD520-A2AB-11CE-B11F-00AA00530503},  IID_ITask{148BD524-A2AB-11CE-B11F-00AA00530503}).3.ITask::SetFlags.4.ITask:SetAccountInformation.5.ITask::SetWorkingDirectory.6.ITask::SetApplicationName.7.ITask::SetMaxRunTime.8.ITask::CreateTrigger.9.ITaskTrigger:SetTrigger. ;PTASK_TRIGGER: ;Stack[00000F08]:0012E1BC 30 00                   dw 30h     ; cbTriggerSize ;Stack[00000F08]:0012E1BE 00 00                   dw 0       ; Reserved ............................... ;Stack[00000F08]:0012E1D8 04 00 00 00             dd 4       ; rgFlags ;Stack[00000F08]:0012E1DC 07 00 00 00             dd 7       ; TASK_EVENT_TRIGGER_AT_LOGON ;Stack[00000F08]:0012E1E0 01 00 00 00             dd 1       ; Type10.ITask::QueryInterface(CLSID_IPersistFile)11.IPersistFile::Save.

创立注册表项“HKCU\\Software\\Classes\\CLSID\\{[unique_per_system_guid]}”，用“@”去添补子项“0”战“1”。注册表中的数据是经过AES减稀的。注册表将数据传递到了下一阶段。AES的稀钥可以从硬编码的数据中取得：

[Asm] 纯文本查看 复制代码

?

1	00854028  08 00 99 E3 72 5D A8 0E  FB DF A8 87 42 D4 AA AB  ..Öpr]¿.vˉ¿çB+¬½00854038  DE AD 35 3F 41 B9 80 5D  85 D4 2E A1 00 E6 E1 8C  |¡5?A|Ç]à+.í.μßî00854048  31 00 01 00 53 C3 00 00  39 37 32 39 35 38 41 36  1...S+.

得出的稀钥为：

[Asm] 纯文本查看 复制代码

?

1	0012E750  E3 99 00 08 0E A8 5D 72  87 A8 DF FB AB AA D4 42  pÖ...¿]rç¿ˉv½¬+B

失掉稀钥的算法为：

[Asm] 纯文本查看 复制代码

?

1

.text:0040EA85 0F B6 79 FE             movzx   edi, byte ptr [ecx-2].text:0040EA89 0F B6 59 FF             movzx   ebx, byte ptr [ecx-1].text:0040EA8D C1 E7 08                shl     edi, 8.text:0040EA90 0B FB                   or      edi, ebx.text:0040EA92 0F B6 19                movzx   ebx, byte ptr [ecx].text:0040EA95 C1 E7 08                shl     edi, 8.text:0040EA98 0B FB                   or      edi, ebx.text:0040EA9A 0F B6 59 01             movzx   ebx, byte ptr [ecx+1].text:0040EA9E C1 E7 08                shl     edi, 8.text:0040EAA1 0B FB                   or      edi, ebx.text:0040EAA3 89 3C 96                mov     [esi+edx*4], edi.text:0040EAA6 42                      inc     edx.text:0040EAA7 83 C1 04                add     ecx, 4.text:0040EAAA 83 FA 04                cmp     edx, 4.text:0040EAAD 7C D6                   jl      short loc_40EA85

接上去，歹意硬件运转其位于“%AppData%”目次下的正本：

[Asm] 纯文本查看 复制代码

?

1

.text:00403BA1 8D 55 E4                lea     edx, [ebp+var_1C].text:00403BA4 52                      push    edx        ; lpProcessInformation.text:00403BA5 8D 45 8C                lea     eax, [ebp+StartupInfo].text:00403BA8 50                      push    eax                        ; lpStartupInfo.text:00403BA9 53                      push    ebx                        ; lpCurrentDirectory.text:00403BAA 53                      push    ebx                        ; lpEnvironment.text:00403BAB 68 00 00 00 04          push    CREATE_DEFAULT_ERROR_MODE  ; dwCreationFlags.text:00403BB0 53                      push    ebx                        ; bInheritHandles.text:00403BB1 53                      push    ebx                        ; lpThreadAttributes.text:00403BB2 53                      push    ebx                       ; lpProcessAttributes.text:00403BB3 68 F0 19 41 00          push    offset CommandLine         ; lpCommandLine.text:00403BB8 8D 8D 79 FC FF FF       lea     ecx, [ebp+MultiByteStr].text:00403BBE 51                      push    ecx                        ; lpApplicationName                                         ;"%AppData%\MfzxAHCb\HQHKWbsv\PMqLMKtj\oPQVNiRgs.exe"..text:00403BBF 89 5D E4                mov     [ebp+var_1C], ebx.text:00403BC2 89 5D E8                mov     [ebp+var_18], ebx.text:00403BC5 89 5D EC                mov     [ebp+var_14], ebx.text:00403BC8 89 5D F0                mov     [ebp+var_10], ebx.text:00403BCB C7 45 8C 44 00 00 00    mov     [ebp+StartupInfo.cb], 44h.text:00403BD2 FF 15 60 10 41 00       call    ds:CreateProcessA

xugong

前排支持楼主

qaz375190249

我感到头晕、想吐、愤怒

胡麦乐超人

看这一堆代码 头都看晕了

kk海阔天空

学习学习，也不错的

babmf

我去楼主 十进制都看的东啊

xyf1990

围观学习

xb987331

好  给楼主顶一个！！！！

笑看风云榜

学习了，支持楼主