深度分析Dridex银行木马-低调大师

深度分析Dridex银行木马

2020-07-28 941

安全分析与研究

专注于全球恶意软件的分析与研究

样本简介

Dridex是目前全球活跃的技术最先进的银行木马之一。该恶意软件的主要目标是从受害者身上窃取银行凭证。Dridex自2014年以来一直存在，并且一直在更新，这些更新帮助恶意软件不断发展并变得越来越强大。

由于黑客组不断的技术改进发展，Dridex当前支持非常先进的功能，例如Atom Bombing注入技术，将Web注入Chrome和Microsoft Word的0day漏洞，这帮助Dridex恶意软件感染了无数机器。

Dridex被归类为GameOver ZeuS的演变，它借鉴了该病毒的C＆C架构并对其进行了进一步改进，从而使控制服务器很难确定。Dridex银行木马还具有与其他恶意软件CRIDEX和Bugat相似的特征。尽管最新消息Dridex主要依赖漏洞作为攻击媒介，但Dridex还使用垃圾邮件感染受害者的计算机。

行为分析

传播途径

样本的传播是通过钓鱼邮件发送恶意doc文件，邮件内容如下。

附件的恶意doc文件是被加密的，密码为pass170619

输入密码打开之后提示我们要启用宏

开启宏之后的内容

恶意word行为

对doc文件进行分析发现文件包含自启动和一些可疑的行为以及包含的URL下载链接。

恶意宏代码

包含的恶意宏代码。

从宏代码中可以看到在C:\Windows\Temp释放了一个aXwZvnt48.xsl文件。并调用VMIC.exe执行释放的xsl文件。

XSL文件

XSL文件内容如下，从tor2net.com下载恶意文件servicewn.exe。

从服务器下载dridex木马并保存在temp目录，运行完之后删除自身xsl文件。

变种分析

XSL文件

上面这个样本的服务器已经不能通信了，该病毒的最新变种前面的步骤和上面的都差不多，到这一步的xsl文件内容不同，最新的变种的xsl文件从服务器下载的是个dll文件。保存在C:/Windows/Temp文件下，名称是随机命名的。

第一段shellcode

拷贝数据

将加密的数据复制到指定的地址。

解密数据

对加密的shellcode进行解密。

修改内存页属性

修改shellcode所在地址内存执行权限为可读可写可执行。

执行shellcode

跳转到shellcode执行。

自解密

解密自身中加密的代码

解密shellcode中的代码。

获取指定函数地址

获取函数地址kernel32.dll中指定函数的地址。这里shellcode当中使用的循环，每次都对kernel32.dll的导出表进行遍历，找到需要的函数名之后在从头开始遍历

获取加载基址

通过pe头标志和对地址每次减0x1000来获取加载基址。

申请新的空间

申请内存空间

第二段shellcode

拷贝数据

将shellcode拷贝到刚申请的内存空间当中。

执行并拷贝第三段shellcode

上面拷贝完第二段shellcode之后，接着执行第二段shellcode中的内容，然后拷贝第三段shellcode的内容到内存中。

位置变换

将从dll里面拷贝的数据以特殊的方式进行调整位置。末尾是2FB的函数就是调整位置的函数。

解密shellcode算法

调整完位置之后在对数据进行解密。解密方式用的xor DL，DL中的内容根据循环次数和3做AND操作，为0就变换一次DL中的内容。DL中内容的变换规律是DL和DL相加，结果乘以3然后在右移5位，得到一个新的DL。

末尾是2CE的函数是解密函数。

第四段shellcode

接着申请空间，然后拷贝第四段shellcode的数据到新申请的空间。

拷贝依据

判断是否接着拷贝数据是根据之前第三段shellcode最终解密出来的数据。当值不为0的时候就继续执行拷贝。

最后一次拷贝

最后一次拷贝。

释放空间

释放第三段shellcode申请的空间。

位置变换

对刚才拷贝的数据以特殊的方式进行调整。

解密shellcode

和上面解密第三段shellcode使用的算法相同。

特殊处理

解密之后对数据进行了特殊的处理，处理之后变成了pe文件。

释放FLS

释放FLS索引。

dll替换

修改内存页属性

更改1220000地址的内存页属性为可读可写，这个地址就是dll加载的地址。

清除原来数据

清除加载的dll的内容。

替换dll内容

将上面处理的pe文件拷贝到刚才清空的空间当中。

按照pe信息中的节依次拷贝过去。

修改内存页属性

把上面修改的内存页属性在改回来。

修改对应段的内存页属性

代码段所在内存页修改为可读可执行。

资源数据段内存页修改为可读

数据段内存页修改为可读可写

重定位段内存页修改为可读

释放资源

释放原始数据的空间。

清除当前执行的shellcode。

执行替换之后的dll

之后retn返回到最初加载的dll文件里面，但是这个内存空间里面的数据都是被替换的新的数据，retn到的是新的dll文件的OEP。

替换之后的dll

自己实现的获取字符串的长度。

hash加密

末尾为0510的函数的功能为对指定的字符串进行加密。

在0510函数内部调用的是13C0这个函数，函数内部通过移位异或等方式处理过后在循环0x100次之后加密完成。

加密之后的字符串和0x6AECC489异或之后如果为0xADC2B18也就是ntdll.dll就通过自己实现的GetProcAddress函数获取指定函数的地址。

末尾为4200的函数功能是根据传递的dll的地址和函数名加密后的hash获取函数的地址。这里为获取0xD047C681的地址，也就是RtlAddVectoredExceptionHandler函数。

遍历dll的导出表，然后对函数名进行加密，之后比对加密过后的值是不是自己需要的函数。

注册VEH异常

获取到需要的函数之后，3790函数作用为执行获取到的函数。这里执行RtlAddVectoredExceptionHandler为注册VEH异常，其中6A686CB0为异常处理函数。

上面这些就是0F60函数的功能。

GetProcAddress函数

注册完VEH异常之后获取kernel32.dll中的函数。

在3BB0函数里面判断字符串是不是kernel32.dll

B140函数的主要功能。

函数44C0为GetProcAddress，传递进去的两个参数一个是dll的加载基址，另一个是函数名。这里0xADC2B18是ntdll，0x92E0E512是RtlCreateHeap函数，0xD084EC36是RtlDestroyHeap函数。

执行RtlCreateHeap

异常处理函数

之后获取0xCB389DFD RtlAllocateHeap函数的地址，获取之后判断是否获取成功，之后触发INT3 异常。

跳转到VEH异常处理函数里面。

对异常进行处理，分析发现是直接修改线程上下文，跳过了INT3异常。

跳过异常之后通过retn执行RtlAllocateHeap函数。

通过异常retn执行RtlAllocateHeap循环申请内存空间

获取RtlComputeCrc32函数地址

最终这里获取到ExitProcess函数的地址，然后退出了程序。不知道有什么地方的判断条件不满足，所以程序没有执行下去。

木马特征

1.通过office宏从服务器下载恶意文件。

2.恶意文件被加密做过免杀处理。

3.执行全部过程采用无文件加载，所有的内容都在内存中。

4.关键函数被hash加密处理过。

5.导出表，导入表等信息被加密。

6.自己重写GetProcAddress函数。

7.注册VEH异常，调用异常处理函数执行异常，增加调试难度。

恶意软件研究需要大量的专业知识储备，而且需要掌握很多不同的专业技能，同时需要研究人员持之以恒的研究态度，是一项非常具有挑战性的安全研究工作，需要付出很多的时间和精力，银行类木马又是一种非常复杂的恶意软件家族，这篇文章进行了深入的分析与研究。

威胁情报收集

常常有读者朋友通过微信或其他方式给我发送一些新的恶意软件或遇到的一些网络攻击案例，非常感谢这些朋友或公众号读者给我提供这些最新的攻击样本和威胁情报，同时也欢迎各位读者朋友，不管是你的企业，还是你个人遇到了一些网络安全攻击事件，都可以通过微信或邮件给我提供各种相关的威胁情报，这些威胁情报包含：

样本

域名

IP地址

钓鱼邮件

钓鱼网站

以及其它一些相关的安全威胁情报信息，同时笔者为了让更多从事这方面的专业人员可以一起交流学习，相互讨论，共同进步，也为了培养更多这方面的专业人才，成立了一个"虚拟的"MR安全团队，有一个MR安全团队微信群，群里的成员可以随时交流讨论各种关于恶意软件的相关话题，专注于全球恶意软件家族的分析与研究，跟踪分析全球黑客组织攻击活动

MR安全团队的成员需要分享自己业余时间的一些安全技术分析报告或相关研究文章等，这样可以帮助更多想从事这个方向的新人，有兴趣的可以找我私聊，加入MR安全团队微信群，一起学习，共同进步，同时MR安全团队的成员，可以免费加入笔者的知识星球和专业群，与更多安全行业各个不同方向的朋友进行交流，学习！

目前针对我国的黑客攻击行为越来越多，各种远控木马、窃密后门、勒索病毒、APT攻击行动已经层出不穷，未来有组织有目的的攻击行为会越来越多，全球网络安全战已经开始，各个黑客组织都在不断的研发自己的新的恶意软件以及各种攻击武器，预计到2021年全球的恶意软件成本会高达6万亿美元

可以说恶意软件已经无处不在，企业数据安全受到了严重的威胁，各种窃密木马以及远控软件横行，地下黑客组织的各种网络犯罪活动未来也会越来越多，不管是政府部门，还是各大中小型企业都是黑客攻击的目的，黑客组织无时无刻不在寻找着新的攻击目标

随着未来各种平台的不断增多，各种新型的恶意软件将会无处不在，黑客组织也在不断开发研究新型的恶意软件做为网络攻击武器，未来会需要更多专业的恶意软件研究人员，安全的路很长，坚持，坚持，再坚持！

本文分享自微信公众号 - 安全分析与研究（MalwareAnalysis）。
如有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一起分享。

微信关注我们

原文链接：https://my.oschina.net/u/4593082/blog/4444454

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

教你使用 Jacoco 统计服务端代码覆盖率

点击上方“AirPython”，选择“加为星标” 第一时间关注 Python 技术干货！ 1. 前言前面有一篇文章使用 Python + Coverage 来统计测试用例的代码覆盖率 Jacoco 针对 Java 语言的一款开源的覆盖率工具，可以嵌入到 Maven、Gradle 中，提供多种尺度的覆盖率计数器，比如：类覆盖、行覆盖、分支覆盖等本篇将聊聊服务端代码的覆盖率统计，以 Spring Boot 项目为例，使用 Jacoco + junit 来统计服务端的代码覆盖率 2. 准备首先使用 IDEA 创建一个 Spring Boot 项目（ Maven ），以之前构建 RESTFul API 的项目代码为基础然后，配置pom.xml 文件，为当前项目新增jacoco 依赖 JAR 包 <dependency><groupId>org.jacoco</groupId><artifactId>jacoco-maven-plugin</artifa...

2020-07-28

892

追溯学一个技术，要知道技术因何而产生，才能有学下去的目标和动力，才能更好的理解首先，要明确为什么要存在代理呢？存在一个常见的需求：怎样在不修改类A代码的情况下，在调用类A的方法时进行一些功能的附加与增强呢？先不考虑什么代理不代理的，我们设计一个简单的实现方案：新创建一个类B，类B组合类A，在类B中创建一个方法b，方法b中调用类A中的方法a，在调用前和调用后都可以添加一些自定义的附加与增强代码。当有需求需要调用类A的方法a并且想要添加一个附加功能时，就去调用类B的方法b即可实现上述需求；下面为了便于理解，附上伪代码： //定义类ApublicclassClassA{publicvoidmethoda(){System.out.println("我是方法a!");}}//定义类BpublicclassClassB{//组合ClassAClassAA;publicClassB(ClassAA){this.A=A;}@Overridepublicvoidmethodb(){System.out.println("我是方法a的附加功能代码，我执行啦~!");A.methoda();...

2020-05-28

597

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。