某后门病毒分析报告

 

前言

后门病毒的前缀是：Backdoor。该类病毒的特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。2004年年初，IRC后门病毒开始在全球网络大规模出现。一方面有潜在的泄漏本地信息的危险，另一方面病毒出现在局域网中使网络阻塞，影响正常工作，从而造成损失。即使管理员通过改变所有密码之类的方法来提高安全性，仍然能再次侵入，使再次侵入被发现的可能性减至最低。

大多数后门设法躲过日志，大多数情况下即使入侵者正在使用系统也无法显示他已在线。摘录于百度百科

此次病毒多次使用隐藏技术，反复转移文件，以及使用Hook技术对抗分析。但是美中不足的是，释放样本的时候没有加密资源，直接获得了payload。

 

一：目录

• 1.目录
• 2.Ioc
• 3.行为分析
• 4.样本分析
• 5.技术总结

 

二：IoC

2.1：样本1

• 1.样本名称：DD668456CF2F3B72773D1968487BDCD5
• 2.样本md5：dd668456cf2f3b72773d1968487bdcd5
• 3.是否加壳：Microsoft Visual C++ 6.0 [Overlay]
• 4.编译语言：vc++
• 5.样本来源：来自于网络收集

2.2：样本2

• 1.样本名称：netsvcs_0x0ex1.dll
• 2.样本md5：5b047ba6518480625dcbe5a14e10dc87
• 3.是否加壳：Microsoft Visual C++ ver. 6/7 DLL
• 4.编译语言：vc++
• 5.样本来源：样本1释放而来

 

三：行为分析

• 行为分析如下：
  

四：样本分析

4.1 样本1

• 1.首先读取进程镜像文件中倒数1024个字节，这些内容部分然后使用base和普通运算加密形成以后的服务名称Microsoft Device Manager。
  
• 2.判断参数是否是Gh0st Update，如果不是立即退出进程
• 3.当程序参数为Gh0st Update,首先判断添加ACE到指定的ACL，目的用于控制访问数据流量。
  
• 4.接下来释放一个tmp文件，然后找到他的导出表，执行ResetSSDT，初步怀疑重置SSDT是为了干扰安全软件的分析和查杀，尤其是一些主动防御的安全软件。具体步骤是这样的:
  • 首先遍历资源文件，释放其中的bin文件命名为res.tmp，然后移动文件命名为ex.tmp设置一个新的文件时间以及隐藏属性并删除之前的res.tmp。
    
  • 获取其中的ResetSSDT函数并调用
    
• 5.接下来，创建名为Microsoft Device Manager的服务，具体的步骤如下：
  • 首先读取CurrentVersionSvchost下netsvcs项的内容x，然后读取SYSTEMCurrentControlSetServicesx，并删除C:WINDOWSsystem32xex.dll这个文件，以便替换，替换成netsvcs_0x0ex.dll
    
  • 然后创建一个名为Microsoft Device Manager的服务
    
  • 创建互斥体，目的是保证实例唯一性
    
• 6.然后将之前的ex.tmp文件写入名为SYSTEMCurrentControlSetServicesnetsvcs_0x0的项InstallModule的内容。接下来就开启服务
  

  4.2 样本2

• 1.首先这个是一个dll文件，根据之前的分析，我们需要调试服务，首先我们不能用OD自带的loaddll因为这默认的入口点是dllMain函数，而调式服务的入口点是ServiceMain函数，我们利用GetProcAddress函数获取函数地址，然后调用即可。代码如下：

    HMODULE hModule=NULL;
    const char ServiceName[]="ServiceName2"; 
    const char *ServiceName3=ServiceName;
    typedef int(*Fun)(int, const char**);
    hModule = LoadLibrary("netsvcs_0x0ex.dll");
    if(hModule==NULL)
        printf("Load Dll Fail"); 
    Fun ServiceMain=(Fun)GetProcAddress(hModule,"ServiceMain"); 
    ServiceMain(1,&ServiceName3);
    getchar();
    return 0;
  

• 2.首先挂起服务，将dwCheckPoint成员设置为0，表示挂起服务或者服务暂停。
  
• 3.获取CurrentControlSetServicesServiceName2的Type子项下的内容，如果内容为288，则在后门执行完毕后进入休眠状态。
  
• 4.读取文件中最后1024个字节内容，这是为了验证是否为正确的恶意文件。以及创建新的互斥量和Ipaddress。
  
• 5.如果服务存在，需要重置SSDT以及修改服务子项Type的内容为288，接着删除删除InstallModule键内容，删除InstallModule对应的文件
  
• 6.将之前从文件中获取rqaxva61p72uvaenqaevp6ef经过Base64以及普通加密运算得到Ipaddress192.168.1.88:8088
  
• 7.接着通过之前编码的Ipaddress192.168.1.88:8088进行链接，然后利用socket进行信息传输
  
• 8.然后获取系统相关信息，主要用系统版本，主机名，CPU频率，驱动信息，然后将这些数据发送给病毒作者服务器。
  
  • 系统版本信息
    
  • 主机名：
    
  • CPU频率
    
  • 驱动信息
    
• 9.病毒的后门控制模块有以下功能：
  • 1.主要是获取磁盘和文件信息
    
  • 2.屏幕控制(包含视屏和音频)
    
    
    
    
  • 3.管道通信读取syslog_dat数据
    
    
    
  • 4.发送syslog_dat数据
    
  • 5.获取进程的PID，模块信息和进程映像文件
    
  • 6.提升进程权限为关机权限
    
  • 7.执行之前释放的文件
    
  • 8.Update本地的后门程序
    
  • 9.劫持winlogon.exe，首先判断注册表下services下的内容是否为288，如果是288则删除注册表和文件，如果不是就劫持winlogon.exe，已知winlogon进程随着开机自启而启动，如果劫持了此进程，相当于病毒拥有了自启的功能。
    
    
  • 10.清空软件日志
    
  • 11.打开IE
    
  • 12.删除Services下的注册表内容
    
  • 13.钩取特殊字符信息，fn是一个回调函数，保存于syslog
    

五：技术总结

技术是招式，编程是内功，所以以后的分析我尽可能总结点编程的东西，而不单单只是分析。这样才能更好的帮助我们理解分析。

socket编程基础

WinSock 编程的第一步就是加载 ws2_32.dll，然后调用 WSAStartup() 函数进行初始化，并指明要使用的版本号。
接下来就是创建套接字的过程，使用socket()函数创建套接字。函数原型如下：int socket( int af, int type, int protocol)。在windows创建套接字SOCKET sock = socket(AF_INET, SOCK_STREAM, 0); //创建TCP套接字或者SOCKET sock = socket(AF_INET, SOCK_DGRAM, 0); //创建UDP套接字

• 参数af的意思是Address Family，也就是IP地址类型，有两种形式 AF_INET 和 AF_INET6，表示IPV4和IPV6，
• 参数Type有两种，常用的有SOCK_STREAM 和 SOCK_DGRAM,分别是有连接的和无连接的。
• 参数protocol表示传输协议，常用的有 IPPROTO_TCP 和 IPPTOTO_UDP，分别表示 TCP 传输协议和 UDP 传输协议。
  然后在客户端用connect函数去连接，服务端用bind()去绑定。在windows下连接的方法如下:int connect(SOCKET sock, const struct sockaddr *serv_addr, int addrlen); //Windows
• 参数sock是之前创建的套接字句柄
• 参数serv_addr是sockaddr 结构体变量的指针
• 参数addrlen是addr变量的大小
  其中第二个参数最重要，他指向的结构体sockaddr_in如下：

  struct sockaddr_in{
    sa_family_t     sin_family;   //地址族（Address Family），也就是地址类型
    uint16_t        sin_port;     //16位的端口号
    struct in_addr  sin_addr;     //32位IP地址
    char            sin_zero[8];  //不使用，一般用0填充
  };
  

• 其中sin_addr是struct in_addr结构体类型的变量。之所以在结构体里面套用一个结构体而不直接用变量s_addr是因为需要兼顾之前的版本情况。

  struct in_addr{
    in_addr_t  s_addr;  //32位的IP地址
  };
  

  然后是发送和接收数据，在windows下，使用send发送数据，原型如下：它的原型为：
  int send(SOCKET sock, const char *buf, int len, int flags);以及使用recv函数接收数据int recv(SOCKET sock, char *buf, int len, int flags);要注意客户端和服务端是相对的，也就是说客服端不单单只是发送数据也存在接收数据的函数。

参考资料：http://c.biancheng.net/cpp/html/3038.html

C++虚函数分析

所谓虚函数，就是在某基类中声明为virtual，并在一个或多个派生类中被重新定义的成员函数。用于实现多态性，通过指向派生类的基类指针，访问派生类中同名覆盖成员函数。也就是说，在编译的时候并不知道会调用那个函数，确定函数的真实调用过程是动态的。
如下代码，运行结果是fn in A
virtual fn in B.为什么会产生这样的结果呢，因为A类是基类，B类是派生类。首先创建了A类，当调用fn()这个常规成员函数的时候，直接调用即可。但是调用v_fn的时候，由于v_fn是一个虚函数。会事先判断B类这个派生类的v_fn是否可用，可用的话直接调用B类的v_fn。

class A {
public:
  void fn() { printf("fn in An"); }
  virtual void v_fn() { printf("virtual fn in An"); }
};
class B : public A {
public:
  void fn() { printf("fn in Bn"); }
  virtual void v_fn() { printf("virtual fn in Bn"); }
};
int main() {
  A *a = new B();
  a->fn();
  a->v_fn();
  return 0;
}

如图，虚函数不是一开始就存在的，他是依靠虚函数表指引调用虚函数，每个类如果虚函数大于1都会构建一个虚函数表。事先会使用一个构造函数去动态指向将要调用的虚函数，返回值为函数指针，放入eax中，后期call eax即可。