拆解一个经多层打包的Betabot木马新变种

安全研究员Wojciech在上周发表的一篇文章中指出，他在偶然间得到了一个Betabot木马的新变种样本，经过了多层的伪装和隐藏。作为初始向量的恶意Office文档试图利用一个17年前的漏洞。

Betabot可以说是一个多变的木马程序，从银行木马演变成密码窃取者，然后演变成一个僵尸网络，能够传播勒索软件和其他恶意程序。虽然在地下市场上你可能只需要花费大约120美元就可以购买到这款木马，但在2017年初也发现了一个破解版本。

 

Word文档作为初始向量

正如通常发生的那样，文档（PDF、Word、Excel）会是攻击者的切入点，在这种情况下，CVE-2017-11882被用于交付下一阶段的有效载荷。由于这种利用，攻击者可以将OLE对象嵌入到特制的RTF文件中，这允许他在受害者系统上执行命令。在下面，你可以找到嵌入在恶意word文档中的对象。

在word文件中嵌入的对象

所有对象都试图伪装成合法的软件（英特尔）来获得用户的信任。

l  Inteldriverupd1.sct允许攻击者利用Windows脚本组件创建新对象，用于在之后运行task.bat脚本。 

inteldriverupd1.sct

l  Task.bat检查临时目录中“block.txt”文件的存在，如果文件不存在，脚本会创建它。最后它会启动“2nd.bat”并删除自身。 

task.bat

l  最后阶段是执行2nd.bat脚本。一开始它会启动主exe文件并杀死文字处理程序（winword.exe）进程。之后，它会从注册表中删除Resiliency目录（对于每个版本）以隐藏它自己的痕迹并阻止文档的恢复。由于MRU（最近使用）功能，下一行很有趣。这些键保留最后打开文档的路径。通过这种方式，攻击者能够知道文件的执行位置，并可以轻易地将decoy.doc复制到临时文件夹。最后两条命令删除其他存在痕迹。 

2nd.bat

l  就如同它的命名一样，“Decoy.doc”被用作诱饵，这意味着该文件将在感染后显示给最终用户。

decoy.doc

整个文件权重为1,4 MB。

另外值得一提的是，在执行时，它连接到hxxp://goog[.]com/newbuild/t.php?stats=send&thread=0，稍后会详细介绍这一点。下面展示了一个截图： 

在word文件中嵌入的地址

第一层

丢弃的文件（exe.exe）是用C＃编写的，并且使用DeepSea算法进行了混淆处理，但是De4dot做得很好，立即对文件进行去混淆处理。

 用de4dot进行去混淆

在这个操作之后，我们可以清楚地看到类和函数的名称，这可以让我们了解它的运作方式。事实证明，这只是第一层的混淆。我们必须确定下一个有效载荷的位置，以及可能的混淆算法，然后将其转储为二进制。 

左边是去混淆之前，右边是去混淆之后

第二层      

函数负责解码，它是简单的xor和modulo操作。现在，我们可以轻松地转储下一个文件。 

解码算法

一种方法是在“while”操作之后设置断点，并将其变量直接保存到磁盘。也可以将整个项目导入到Visual Studio中，然后调用该函数，但Wojciech决定将此函数重写为python并解码。

“Byte3”和“Byte2”是字节数组的名称。                 

 int0 = len（byte3） – 1

int1 = len（byte3）
array_size = [15] * int1 
byte2 = bytearray（array_size）
while int0> = 0：
    byte2 [int0] =（byte3 [int0％len（byte3）] ^ byte3 [int0]）
    int0 = int0  -  1 
file = open（“decoded.bin”，“w”）
file.write（byte2）

这是如何检索下一个文件的方法，另一种方法可以是调试代码并检查已加载的模块。新文件在执行之前被加载到内存中，因此可以将它从“modules”选项卡转储到DnSpy中。 

未知的模块

另外有趣的是，在文件的资源中有许多被嵌入的图片。所有图片都包含有噪声像素，其中有一张图片是个例外，它看起来像布加勒斯特电影之夜的合法海报，名称为“Key0”。含有噪声像素的图片将在下一阶段中使用，但这张海报的目的仍然未知。 

在资源中的嵌入的海报

第三层

下一个文件也是用.Net编写的，采用的一些技巧使得它更加难以阅读。例如，字符串是用硬编码的密钥加密的。不过，解密它并不困难，因为我们有一个源代码，你可以在代码中的每一个创建的字符串上调用此函数。 

加密的字符串

一些有趣的字符串：

Notify

Software\Microsoft\Windows\CurrentVersion\Run

.exe

InstallUtil.exe

RegAsm.exe

vbc.exe

AppLaunch.exe

svchost.exe

-boot

/c select,

explorer.exe

.lnk

Save

shell32.dll,

conLocation

TargetPath

CreateShortcut

b070b0ef-fb2c-415b-9f41-b32551b5d91f

vmacthlp

vmtools

vboxservice

事实证明，大多数类和函数名称仍然不够易读，不便于分析。Wojciech表示，他没有找到任何自动去混淆这个层的方法，但经过一段时间，他得出了一些结论。

第三层的主要功能

文件所做的第一件事是解密另一个文件，并将其与其他与恶意软件配置相关的信息存储在字典中。它创建另一个文件的方式非常有创意，其工作原理如下：

l  从资源获取图片（来自前一阶段的含有噪声像素的图片），并将其作为“image”类型存储在数组中；

l  将每个图片转换成内存流；

l  解密它。；

l  将它添加到字典中。 

配置字典

在执行过程中，它检查字典中的配置（在这个样本中没有打开任何附加功能），并调用相应的函数。例如，如果将值Options.CheckVM设置为false，恶意软件则不会调用负责检查其是否在虚拟环境中运行的功能。

其中一个功能检查进程（vmacthlp、vmtools、vboxservice），如果其中任意一个正在运行，它会自动终止。

在下面我们可以看到它是如何将自己复制到C:users[username]AppDataRoamingMicrosoftWindowsStart MenuPrograms并在之后启动的。 

 

第四层——Betabot

在从前面提到的数组中转储文件之后，我们就得到了Betabot变种。目前在野外很多不同版本的Betabot，作为原因之一，很可能是因为破解版本的出现。样本包含一些反调试和反虚拟环境技巧。

首先是检查PEB进程中的BeingDebugged标志。想要绕过它，我们必须将EBX值设置为与EAX中的值相同。关于这项技术的更多信息在这里。

 它在SYSTEMCurrentControlSet中检查以下键的存在：VboxGuest、VmTools和Vmware.inc。

检查过程

执行的其余部分与此处分析的样本相同。不过，Wojciech在从内存中打开恶意软件时遇到了一些麻烦。在整个文件被完全解压缩之前，Wojciech遇到了堆栈溢出错误，这也许是无法绕过的下一个反调试机制。

在这种情况下，Wojciech决定使用SysAnalyzer之类的自动工具，它可以检测和转储适当的内存部分以供进一步分析。它确实完成了自己的工作，但是header仍然被破坏或加密，因此无法分析文件，但是从字符串中可以推断出一些功能。 

转储文件中的字符串

网络流量

如前所述，首先连接到的是hxxp://goog[.]com/newbuild/t.php?stats=send&thread=0，在重定向之后，它会分配随机值作为响应。 

第一个请求和响应

重定向导致联署服务hxxp://sharesale[.]com，并带有一些跟踪值。 

第二个请求和响应

最后，我们登陆到hxxp://shirtbattle[.]com。

Wojciech的猜测是，bot首先会注册自身用于跟踪目的，然后去shirtbattle从联署项目赚取一些额外的钱。

Wojciech还观察到，主要的C2服务器位于hxxp://onedriveservice[.]com上，它不是真正的微软域，它与其他恶意活动相关联。

也许这项活动已经结束，CnC已经关闭。我们可以更改我们的DNS设置，以充当C＆C服务器。以下是对Betabot标准的要求、随机参数名称和RC4编码。更多关于提取RC4密钥以及如何获取配置的信息在这里。

 对Betabot的标准要求

网络流量的准备非常谨慎，一些合法的全球服务可能会因为域名的相似性而显得无辜，类似于goog[.]com和onedriveservice[.]com。

 

结论

有时即使是已知的样本也会因为各种打包、加密或编码方式而带来一些麻烦，这使得我们需要花更多时间来了解它的运作方式以及它可以做什么。

 

IOCs

Purchase_order.doc 20FC1511A310ECE324E40381E49F49C2

Decoy.doc B5F34D2752EC82ACA1DD544DA7990448

2nd.bat 76C94647524188152C6488600CC438B0

Exe.exe 13AE5AF773E63F65D5B0748676FCFF75

Mndgrhsz.exe BFDD283E6135AC06284AC8A221990DA9

Multi.exe B01137B556E968582730F9FE4186DE08

Betabot.exe 005551A827C77BCECBA7B65F5B7A95AF

goog.com

onedriveservice.com

 

审核人：yiwang   编辑：边边