vbs脚本传播银行木马变体样本

最新推荐文章于 2025-08-05 11:31:13 发布

原创最新推荐文章于 2025-08-05 11:31:13 发布 · 1.1k 阅读

18 ·

CC 4.0 BY-SA版权

文章标签：

#vbs

样本分析
VBS 第一阶段
第一阶段是一个高度混淆的独立vbs脚本，它会将包括恶意样本在内的其他有效负载下载到系统上。在这里插入图片描述
vbs脚本前面定义了三个变量，之后重新构造变量，重新组合后，NbCTQqd的值为：

wscrilqpt.exe //E:vbscript
之后通过CreateObject(“Scripting.FileSystemObject”)创建文件系统对象。

接着做了一个路径生成，最终生成的路径是"C:\Users[User]\AppData\Local\Temp\tmp123454321pmt.txt"，往下CreateTextFile 创建一个新文本文件。

接着下面全是混淆，借助vs解混淆可以得到完整的内容：在这里插入图片描述

脚本从提供的URL中下载 pyaloads，并使用 rundll32.exe 执行下一阶段恶意软件，即恶意样本的主体。

Emotet DLL
DIE检查它是一个32位的DLL文件。
在这里插入图片描述
这里调试使用“rundll32.exe”进行加载。Parameters选项用于指定指定程序在启动或调试时所需要的命令行参数，这里使用参数Control_RunDLL。

在这里插入图片描述
一旦该恶意样本文件被“rundll32.exe”加载，它的入口点函数就会被首次调用。然后，它会调用 DllMain() 函数，从“资源”中加载并解密 32 位 Dll 到其内存中。解密的 Dll 是这个恶意样本的核心，由于其中包含一个硬编码的常量字符串，因此在本分析中将其称为“X.dll”。

在这里插入图片描述

通过System informer可以找到该进程内存的x.dll。

“X.dll"检查命令行参数中的导出函数名称是否为"Control_RunDLL”。如果不是,它会再次使用"Control_RunDLL"而不是其他导出函数(如"C:\Windows\syswow64\rundll32.exe emotet.dll,Control_RunDLL")运行命令行。然后,它会调用ExitProcess()退出第一个"rundll32.exe"。如果初始DLL尚未加载ControL_RunDLL,它会使用API CreateProcessW()运行新命令。

可以借助内存转储工具将X.dll dump出来。在这里插入图片描述
X.dll
我们可以进一步使用转储的 x.dll，并根据当前正在调试的程序重新设置程序，并将导出映射到正在调用的函数。例如，调用 eax 跳转到 x.dll 中的 Export Contro_RunDLL，该 DLL 映射如下图所示：

从x.dll的Contro_RunDLL开始,为了方便这里将其重命名为Contro_RunDLl_xdll
在这里插入图片描述
在函数sub_1001FCD8的图形视图中可以发现,下。x.dll使用了控制流平坦化的操作,将代码进行了高度混淆。
可以通过给指定函数内的所有调用指令（call）添加断点。

idapython代码如下：

import idautils
import idaapi
import idc

def add_breakpoints_on_calls(func_name):
# Get the function address by name
func_ea = idc.get_name_ea_simple(func_name)
if func_ea == idc.BADADDR:
print(f"Function {func_name} not found!")
return

# Get the function's end address 
func = idaapi.get_func(func_ea) 
if not func: 
    print(f"Function {func_name} not found!") 
    return 

# Iterate through the instructions in the function 
for head in idautils.Heads(func.start_ea, func.end_ea): 
    # Check if it's a call instruction 
    if idc.print_insn_mnem(head) == "call": 
        # Add a breakpoint at the call instruction 
        idc.add_bpt(head) 
        print(f"Breakpoint added at 0x{head:x}") 

print(f"Breakpoints added on all call instructions in function: {func_name}")

Example: specify the function name where you want to add breakpoints

add_breakpoints_on_calls(“Flatten_func”) #Flatten_func is the “code flow flatenning function that i renamed”
给函数sub_1001FCD8重命名为Flatten_func，可以得到：在这里插入图片描述
字符串混淆

所有字符串均在x.dll中加密，并在运行时解密。它会解密恶意软件中加载的所有附加库的名称。
API解析
所有 API 都是动态加载的，以避免在静态分析中被检测到。在上面的例子中，我们看到“advapi32.dll”的字符串被解密。在此函数中，它将使用 API LoadLibraryW加载并执行。函数resolve_func负责解析 API 哈希并在比较哈希后返回 API 地址。

在这里插入图片描述
从这里开始，所有 API 都使用 API 哈希解析并执行。

它首先检查的是命令行参数，以查看 dll 是否已使用Control_RunDLL参数执行以及执行路径。如果恶意软件不是从%AppData%执行的，那么它会将自身移动到 Appdata 中的安全位置。

它涉及下列windows api

SHGetFolderPathW 获取 %Appdata% 的路径。
GetCommandLineW 检查命令行参数和路径。
CreateFileW 获取自身的文件句柄。
GetFileInformationByHandleEx 获取自身的文件信息。
GetTickCount 生成随机名称。
SHFileOperationW 复制文件。
DeleteFileW 删除复制文件的 Zone 标识符。
在这里插入图片描述

当恶意软件被转移到其他位置后，它会再次使用 rundll32.exe 执行自身，从而删除原始文件。再次执行自身所使用的 API 如下：

CreateProcessW 该表情符号再次使用 rundll32 在 %appdata% 中新保存的 dll 执行
ExitProcess 退出第一个进程
x.dll的行为会根据执行位置而改变。如果从 %Appdata% 执行，它会继续执行；但如果从其他路径执行，它会更改位置并重新加载。在这里插入图片描述

信息收集
最后一个阶段的恶意软件将 x.dll 复制到 %appdata% 本地文件夹中，文件夹名称和文件名均为随机的，并添加了 .xnj 扩展名。在此阶段，我将再次使用带有参数 Control_RunDLL 的 rundll32 执行 dll，并进一步调试其行为。

它首先对 kernel32 和 ntdll 位置进行常规 PEB 遍历，然后查找 LoadLibraryW 和 GetProcAddress 的地址。然后，它加载所需的所有模块，并首先检查执行文件路径和模块名称。如果一切正确，它会收集系统信息以制作请求并将机器人注册到 c2 服务器。

GetComputerNameA 获取受害系统的名称
GetWindowsDirectoryW 获取安装系统文件的 Windows 目录
GetVolumeInformationW 获取音量信息
在这里插入图片描述
文件删除
当恶意样本尝试删除 %AppData% 中主目录中存在的所有额外文件时，我们发现它有独特的行为。除了主 emotet dll 之外，它还会删除目录中的所有其他文件。
如上图所示，它正在尝试删除名为 cdomcinc.xnj.id0 的 ida 文件。

加密密钥
样本使用椭圆曲线密码 ECDH 密钥来建立加密密钥。生成的 ECDH 私钥和嵌入的 ECDH 公钥与 BCryptSecretAgreement 函数一起使用，在恶意软件和 C2 之间生成共享密钥。使用 BCryptDeriveKey 函数从共享密钥中派生出 AES 密钥。在这里插入图片描述

C2通信
样本通过结合其发现的主机数据、使用派生的加密密钥对数据进行编码/加密并通过 http 发送，制作将机器人注册到 c2 服务器的第一个请求。

它收集桌面名称和 mac 地址的哈希值
它收集窗口的路径
它收集卷的信息
将所有这些附加在一起，同时在每个元素后用“；”分隔字符串。然后对字符串进行编码和加密，如下所示：在这里插入图片描述

样本使用wininet API 发送恶意请求并获取响应。它使用 GET 和 POST 请求，数据在 cookie 标头中发送。对于较大的数据，它使用 POST 请求，否则它主要使用 GET 请求。