技术分享丨Emotet银行木马宏样本分析

  XCTF联赛小秘       2021-01-20 14:13:45 3010  0

一. 简介

图片
Emotet银行木马首次发现是在2014年6月份,此银行木马主要通过垃圾邮件的方式进行传播感染目标用户,是一款比较著名且复杂的银行木马。



二. 样本运行流程

图片


三. 分析

图片
邮件附件DOC样本(重命名为2021-1-13-Emotet.doc),如下所示:

打开文档之后,如下:


1、宏代码分析
使用oletools 套件的olevba,查看里面包含宏代码,如下:


2、动态调试
从上面中我们隐约可以看到调用了WMI和一堆混淆。
我们这里直接去该文档的VBA编辑器,动态的调试,看到到底发生了什么。


此处我们可以看到由Document_open()函数调用Bn2p1rxokklh_9o8
此处一共有3处函数,其中Bn2p1rxokklh_9o8()、Ipls8rqp952u2lk1(V8_prqa_b590f6uz6z)、Cws3jiyt47ovpsrhug(Mhb7dz_hsybhf0ic7)
现在 这里我们直接在函数Ipls8rqp952u2lk1中的结束处进行下断点。让我们运行下看看

我们这里注意V8_prqa_b590f6uz6z 和Ipls8rqp952u2lk1这两个变量


在这里我们可以看到V8_prqa_b590f6uz6z变量为混淆的内容,而 Ipls8rqp952u2lk1最终的解密后的值为winmgmts:win32_process,这里混淆的key为最后一处函数 Cws3jiyt47ovpsrhug(Mhb7dz_hsybhf0ic7),其中的 Replace引起了我们的注意,而w]xm[v就是我们的key

就像这样,如下图所示:


当执行到最后,我们也可以看到完整的执行代码,如下:

而完整的混淆代码为如下图所示:

使用key对其进行替换,如下图所示:

最终得出来的代码为如下图所示:

下面为执行的过程。调用cmd 进行弹窗和调用powershell:



3、PowerShell 分析

我们对其powershell中的base64进行解密。得出的代码如下图所示:

我们可以看到powershell 也是进过混淆的,其中字符串的混淆为打乱排序,经过下图的类似的处理后:

代码整理如下图所示:

大体该脚本执行的流程为:
1)创建目录为下面下载的文件提供路径。
2)下载DLL文件并命名为S93E.dll
3)调用rundll32执行DLL。

4、DLL执行

在上述过程中我对其中几个url分别进行验证。只有两个网址是可以下载DLL的:


两个DLL的md5是不同的,但是其功能是相同的,下图为完整的执行过程:

在这里调用rundll32 执行dll文件使用期函数showdialogA。对其释放和执行另一个dll文件,最后进行自我删除第一个DLL的动作:

并对其进行注册表修改,添加启动项,为其进行后期的控制:

同时我们可以看到 该DLL对外进行通信:



四. IOC

文件名:"QD0948945078TQ.doc"sha256:  27e5abb8149408da077133529e8da246c1003edc20974635d6757e05798d78c5  sha1:  3a7a405ef3df95c1cfa18284749ff885a6430a88  md5:  2b310974bb4a113881471845a109b3de  
DLL文件 md5 C:\Users\admin\Kjl48kr\Nqm9ty9\S93E.dll 0a3a2efb412b08e886f9856a5093c6e4 md5 C:\Users\admin\Kjl48kr\Nqm9ty9\S93E.dll 617231616b57a1a09e14cf068d9c8a21
DNS requests www.starlingtechs.com
Connections ip 71.72.196.159

HTTP/HTTPS 请求 url https://www.starlingtechs.com/GNM/ url http://71.72.196.159/3xjgiyzod/r2dsukigxsy2d/4r9mzyqmmbgte85/nemcrg565qsoiqnnoa/fgpz1c4ee1mmcc/4wuwc0y5xm79x/

参考链接:

https://www.virustotal.com/gui/file/27e5abb8149408da077133529e8da246c1003edc20974635d6757e05798d78c5/behavior
https://app.any.run/tasks/beef10b6-bc74-4f38-adf4-b9a3e83082b3/
https://www.cynet.com/attack-techniques-hands-on/powershell-obfuscation-demystified-series-chapter-2-concatenation-and-base64-encoding/


请先登录
+1 已点过赞
0
分享到: