首页
论坛
课程
招聘
雪    币: 1197
活跃值: 活跃值 (267)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝

[调试逆向] [病毒木马] [.NET平台] 俄罗斯套娃式的.net样本分析

2020-6-28 15:18 1624

[调试逆向] [病毒木马] [.NET平台] 俄罗斯套娃式的.net样本分析

2020-6-28 15:18
1624

前言

原来没有分析过.net的恶意程序,偶然发现了一个使用了Agent Tesla间谍软件生成的木马,看到有不少分析的文章了,就自己分析一下,记录一下分析过程。

描述

原始文件是由c#编写的,内部包含两个资源,一个是图片,另一个是DLL文件。程序运行时会先将DLL文件在内存中释放出来。然后在DLL文件中使用解密函数将图片中隐藏的文件解密出来。隐藏的文件会设置计划任务,并解密出来一个PE文件来执行窃密操作。

.net分析

静态查看

使用dnspy对.net文件进行调试,https://github.com/0xd4d/dnSpy/releases ,在这里进行下载。

 

dnspy左侧是一些程序集,右侧是程序集对应的代码

 

1592967126837

 

先静态看看有什么内容,发现有两个资源,一个是图片,另一个似乎是PE文件

 

1592969814605

 

关键函数应该是这里

 

1592967514861

原始文件调试

调试时可以在入口点停下,也可以下断点。

 

1592967232290

 

在此函数中将执行关键函数。

 

1592969687780

 

执行上述函数就会到达 PhotoDirector.dll 的函数中

 

1592969913105

解密DLL调试

使用自身的解密方式来进行解密操作

 

1592969975428

 

可以看到解密出来了一个PE文件

 

1592970068344

解密.net文件分析

将文件dump出来继续分析,将从恶意程序中解密出来的文件复制到指定目录中。

 

 

解密资源中的xml文件,并将其放入临时文件中

 

1592985323960

 

获取信息准备设置计划任务

 

1592535607919

 

获取schtasks.exe,设置计划任务

 

1592535780461

 

1592535820804

 

计划任务已设置

 

1592535952201

 

运行之后,系统就提示检测到恶意软件,然而感觉似乎没有运行啊,就猜想会不会有其他的地方又解密出来一个恶意程序。
暂时不晓得该怎样调试,就在所有的类中添加了类断点,运行之后原来在程序的入口点之前恶意文件就已经被解密了。不过这个方法是只能是在类较少的情况下使用,不然断点太多了好麻烦的。

 

1592547573290

PE文件分析

将程序dump下载进行分析,基本操作就是获取系统下载软件信息,窃取用户的各种账号密码,

 

1592555478430

 

获取发送信息的地址

 

1592556408203

 

拼接GET信息

 

1592556615557

 

密码字典爆破,用自设的用户名登录电脑

 

1592557076424

 

执行批处理文件,将恶意程序与自身删除

 

1592897138252

总结

看了几个不同的利用 Agent Tesla 间谍软件生成的木马,基本都是利用了图像来解密隐藏的恶意文件的,这个可能就是 Agent Tesla 的特征吧。。。

 

样本在附件中(infected),这个样本还是很有意思的,像是个俄罗斯套娃一样。。



[公告]看雪论坛2020激励机制上线了!发帖不减雪币了!如何获得积分快速升级?

上传的附件:
最新回复 (6)
雪    币: 108
活跃值: 活跃值 (29)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Vagaeth 活跃值 2020-6-28 17:43
2
0
发现不少恶意软件喜欢用.net来写
雪    币: 309
活跃值: 活跃值 (51)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Mxixihaha 活跃值 2020-6-28 20:28
3
0
Vagaeth 发现不少恶意软件喜欢用.net来写
估计是因为 Net 不报毒可以躲杀毒软件
雪    币: 251
活跃值: 活跃值 (98)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ZwCopyAll 活跃值 2020-6-28 21:01
4
0
maark
雪    币: 72
活跃值: 活跃值 (52)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
实都 活跃值 2020-6-30 15:30
5
0
Mxixihaha 估计是因为 Net 不报毒可以躲杀毒软件
defender识别.NET的马比较厉害,之前就被干过
雪    币: 969
活跃值: 活跃值 (28)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
江北浪 活跃值 2020-7-1 16:18
6
0
Vagaeth 发现不少恶意软件喜欢用.net来写
可能是语法糖比较多吧,很多东西比较方便
雪    币: 265
活跃值: 活跃值 (29)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
niuzuoquan 活跃值 2020-7-4 23:24
7
0
mark
游客
登录 | 注册 方可回帖
返回