针对朝鲜的远程攻击木马Konni——技术分析与防护

在今年7月份，针对朝鲜的网络攻击的远程访问木马Konni被发现，此次的网络攻击行为被怀疑和韩国有关。该木马主要通过钓鱼邮件的方式进行传播，开始先通过一个.scr文件执行Powershell脚本，并根据系统信息下载对应版本的恶意软件。绿盟科技在获得该木马样本之后第一时间进行了分析。通过技术手段发现，该木马主要用于窃取数据和远程执行命令。


 

相关链接：

http://mp.weixin.qq.com/s?__biz=MzI4ODA4MTcxMA==&mid=2649550781&idx=1&sn=2154bbd04e8afc1fdf9688f34d0e9d2a&chksm=f3db9dfcc4ac14ea38b5860c64e5546163b7653dff49c93f77a84d741c54c1fd1a3b137faa68&mpshare=1&scene=1&srcid=0811uNyGZ0DegrBKLep01hBh&rd2werd=1

http://www.securityweek.com/cyberspies-use-konni-malware-target-north-korea
绿盟科技TAC检测结果

样本分析
主要功能
样本是一个木马程序，拥有获取系统信息、键盘消息记录、浏览用户文件目录、远程下载、偷取或删除指定文件、获得用户截屏、远程执行命令的功能。

由于木马dll仅会在注入浏览器时体现网络行为，并且该网络行为被伪装成和正常网页的交互，所以能够躲避一些基于可疑网络流量分析进行告警的检测手段。
行为分析
文件操作
1、原样本从资源中释放自身的功能模块errorevent.dll到用户临时目录下:



2、功能模块样本在用户Local settings文件夹中创建Packages/Microsoft/目录，并依据不同的子功能生成临时文件：



例如：

样本的键盘记录日志文件名为debug.tmp。

样本接收的指令将由repaired文件暂时存储。

样本在收