这是一例Phorpiex僵尸网络变种通过NSIS打包加载恶意dll(Flaminius.dll)读取dat文件Preoral.dat在内存解密并解压缩出一个Pe创建同名傀儡进程并注入。

通过可移动存储介质传播通过IRC协议连接C2服务器内嵌了271个c2地址会检测沙箱替换系统剪贴板内容。

文件大小:

9365b48827f3cb8197a848b5541e44dc

SHA1:

8ab949370c6ccff66610da3dbddafc828b12e3e7

SHA256:

0d3313a93ddc742908a4b2396ebfe1e080ef9c31d759fa552842aae9b4dbafe7

PE32安装程序:

└─$_4_└─$_4_Uninstall.exe[NSIS].nsi脚本中有一段说明程序的入口在Flaminius.dll。

SetOutPath

Flaminius::Ninth重点分析这个Flaminius.dll

第二阶段

12DD13145E30FD83685161905E9A22B1

SHA1:

8822796E570D9D002A04610362A787CF410A3ACDPE32编译器:

EP:Microsoft

Linker(6.0*)[DLL32]Preoral.dat:

Verified:

85F94AE59CC3C63B1FA621BBF7723F44

SHA1:

80B56BD65AEF79CAB4DE4E0C57BAC4BF0921F872Flaminius.dll读取Preoral.dat的内容在内存中解密调用RtlDecompressBuffer函数解压后是一个pe创建一个同名的傀儡进程将这个pe注入其中。

使用OD动态调试将这个pe

dump出来分析。

这个样本静态分析不太容易其几乎所有的api都动态获取的。

第三阶段

35FFA90B7F75D4DB208436994BED3D3E

SHA1:

4BC8D1A3C0AD50FA3F07C86428F3CD33FCB7EC53

PE32编译器:

首先检测当前环境是否在沙箱中。

通过查询硬盘的ProductId中是否含有关键字qemu、virtual

若是沙箱话自毁并退出。

自毁通过bat文件来实现在临时目录下创建一个bat文件文件名为10个字节的随机字符串。

内容如下

:repeat

C:\Users\ADMINI~1\AppData\Local\Temp\[随机10个字符].bat创建互斥量

删除文件

病毒路径:Zone.Identifier。

Zone.Identifier文件中的内容是一个文本文件其中包含了有关下载文件的安全区域的信息。

该信息主要用于确定下载文件的来源并提供安全警告或限制性措施。

首先感染系统在系统中创建副本路径为下面三个之一目录M-505052074572749672056208574286582740540和winmgr.exe文件。

%windir%\M-505052074572749672056208574286582740540\winmgr.exe

%userprofile%\M-505052074572749672056208574286582740540\winmgr.exe

%temp%\M-505052074572749672056208574286582740540\winmgr.exe修改下列注册表项

添加防火墙策略

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

%windir%\M-505052074572749672056208574286582740540\winmgr.exe

[%windir%\M-505052074572749672056208574286582740540\winmgr.exe]:*:Enabled:Microsoft

Windows

在这个配置中该应用程序被授权通过系统防火墙。

具体的配置信息如下

[%windir%\M-505052074572749672056208574286582740540\winmgr.exe]

*:Enabled

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]

Microsoft

ManagerC:\\Windows\\M-505052074572749672056208574286582740540\\winmgr.exe禁用windows

Defind

[HKEY_LOCAL_MACHINE\SYSTEM\\CurrentControlSet\\services\\WinDefend]

Start

创建三个线程执行恶意操作。

主要是感染可移动存储介质和远程驱动器、替换剪贴板中的内容、通过IRC协议连接C2执行恶意操作。

.lnk文件如下其图标为驱动器图标指向同目录下的DeviceConfigManager.vbs。

DeviceConfigManager.vbs的内容如下这是一个vbs文件其中的变量名是随机生成的,其中还有一些混淆代码没有显示。

这个vbs的功能是关闭当前窗口并打开名为_的文件夹和_\DeviceConfigManager.exe文件。

...

wscript.CreateObject(WScript.Shell)

Set

wscript.CreateObject(Scripting.FileSystemObject)

Set

wscript.CreateObject(Shell.Application)向系统发送键盘命令具体是%{F4}表示按下Alt

rhpsafddxaculbu.FolderExists(_)

Then

If若存在名为\DeviceConfigManager.exe的文件以最大化方式打开该文件

rhpsafddxaculbu.FileExists(_\DeviceConfigManager.exe)

Then

Ifautorun.inf文件如下其中有混淆的部分未显示这是一个自动运行脚本的标准autorun.inf文件内容如下这个autorun.inf文件的作用是在U盘插入计算机时自动运行U盘根目录下的_\DeviceConfigManager.exe文件并设置U盘的图标为系统SHELL32.dll文件的第4个图标文件夹图标。

同时启用了AutoPlay功能用于实现病毒的自启动。

[autorun]

icon%SystemRoot%\system32\SHELL32.dll,4

UseAutoPlay1目录_下的为病毒的副本(DeviceConfigManager.exe)和原来U盘内的文件。

首字母在为这些字母13B2XDE0L4PARrtz之一首字母为4或2若长度为在90和115之间首字母不是4或2若长度在25到45之间不含有O、I、l三个字符只含有字母和数字字符

若满足上面的条件根据下面的规则替剪贴板中的内容。

不知道其作用是啥。

连接C2地址

会依次连接这些c2若找到可用的c2地址后使用IRC协议与C2通信支持的IRC命令有PING、PONG、USER

获取主机信息

首先通过访问http://api.wipmania.com/来获取当前的IP地域与命令中区域信息比对。

下载一个pe保存在临时目录下文件名为随机的10位字符执行。

若有更新命令退出当前进程。

IOC

9365b48827f3cb8197a848b5541e44dc

原始样本

12DD13145E30FD83685161905E9A22B1

加载器Flaminius.dll

85F94AE59CC3C63B1FA621BBF7723F44

Preoral.dat

35FFA90B7F75D4DB208436994BED3D3E

主机中

%windir%\M-505052074572749672056208574286582740540\winmgr.exe

病毒副本

%userprofile%\M-505052074572749672056208574286582740540\winmgr.exe

病毒副本

%temp%\M-505052074572749672056208574286582740540\winmgr.exe

病毒副本

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]

%windir%\M-505052074572749672056208574286582740540\winmgr.exe

[%windir%\M-505052074572749672056208574286582740540\winmgr.exe]:*:Enabled:Microsoft

Windows

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

Microsoft

ManagerC:\\Windows\\M-505052074572749672056208574286582740540\\winmgr.exe

关闭winDefind

[HKEY_LOCAL_MACHINE\SYSTEM\\CurrentControlSet\\services\\WinDefend]

Start

这个样本使用了侧加载的技术核心模块不落地有检测沙箱的功能通过IRC协议请求命令很有代表性。

参考资料