记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

Free Star木马分析与追溯

2016-04-05 14:30

Free Star木马分析与追溯

2016-04-05 10:45:32 来源:360安全播报 作者:360天眼安全实验室
阅读:1903次 点赞(0) 收藏


分享到:

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bfb195822fe9127c025d1018ae3155b8f89c158303c24508a3bd2c97923be1177c.jpg

引子


人在做,天在看。

360天眼实验室一直与各种木马远程做斗争,对手总是试图找到办法使自己处于安全监视者的雷达之外。近期我们看到了一些较新版本的大灰狼木马采用了一种新的上线方式,与利用QQ空间、微博、博客或者网盘等方式上线相似,其通过调用QQ一个获取用户昵称的接口来获取上线地址,又一种通过正常通信渠道进行非正常通信的企图。

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf8251cab830f049ec8e6e335159b8a0bc8b028c9923df0d2a745b23ff39a37f28.jpg

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517ca345caa7064dcf9af7a461cd17c56ff3faf71d458b9a4d7b5599e486f65f88cf.jpg

当一个方法被证明有效,很容易就会被其他造马者“借鉴”。通过基于360威胁情报中心数据的关联性分析,我们发现了一个名为Free Star的木马也采用了这种上线方式,该木马最早出现于2015年2月左右,作者从2015年5月开始在各个免杀论坛售卖源码,而新版本活动时间就在2016年1月份至今。其部分代码结构和Gh0st、大灰狼的代码比较相似,可以认为是那些远控的衍生版本。

下图为从某免杀论坛下载到的Free Star木马控制端,可以看见配置Server端中需要将IP地址加密后设置成QQ昵称,然后由服务端通过访问对应的接口来获取QQ昵称,进而解密出木马上线的IP地址:

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad6409ea3fdd4e93f187f2e5143ff3e8a9fbc5ca69e6e99332efdbfebd57b4d3e63.jpg

访问的接口如下:

http://pic1.hackdig.com/pp/214a8a6035b31e2495d6d890f5a69a03c6ce81cb22b5d1812ec13d9d4526d61285313d215af38a0e8969b008ffe13f0d.jpg

今天我们要分析的对象就是这个名为Free Star的木马,这个也是360天眼实验室新晋小伙伴的处女作。

样本分析


样本信息基本识别信息如下,供同行们参考。

木马文件MD5: c3d7807f88afe320516f80f0d33dc4f3、a1bb8f7ca30c4c33aecb48cc04c8a81f

分析得到木马主要行为总结:

l添加服务项,开启服务,转移自身文件

l用gethostbyname函数获取上线地址或访问QQ昵称接口获取木马上线地址,并进行网络连接

l检测杀软进程

l开启线程接收指令,执行远控功能

添加服务项,开启服务,转移自身文件

木马首先判断是否已经注册了服务项,如果没有注册,进入自拷贝、创建服务的流程:

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517cbed0f3700c5e84bd6d87ca5eff937a2455d7b36102659ae0ef8f5732eec7347b.jpg

创建服务

http://pic1.hackdig.com/pp/4ae20cb14ac9d56f7929b4ff9e5d52720f5036c5fe32897eb9999d8ad6ade15782a893d2d9f5bd2b1bf30cfab3c8cce1.jpg

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad678579f6957df172b2d8b645ba0bfda745e55e43611fdb9e550542cc24db303b7.jpg

调用StartServiceA开启服务,进入主功能流程

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee0e9523643ac99104a196b956a6f385e89130d7e3ee97312ea1997f8922f2330a.jpg

在拷贝自身,移动到%appdata%中指定目录

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bfa8af00f8922e8f6eea08d86e214ad1f76ac7d49a42fa677e6f1432e36400babb.jpg

创建自删除脚本并执行,用于删除自身文件以隐藏自身

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517c097694b36c2320f0ab95da3999dfe8c17b880c7a75f7d2e24a1aa27b8ef9c6a0.jpg

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf07685e27e930e3ce8dd8445723396e320eab190dcb112e202fbda8517b443376.jpg

脚本内容如下:

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bfee989f32c91679b1ded0ddbb4cf802eb6c83598805390aea473f9c7ef1837c60.jpg

获取上线地址

以服务项启动进入时,通过注册表对应的项判断服务是否存在,决定是否进入开始进行网络连接。

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee33145027c92c19cbe79a05c85b233a1a319267874056a11fac9637bf390bd408.jpg

解密动态域名、QQ号、端口号:

解密算法是Base64解码后,异或0x88 ,加0x78,再异或0x20

http://pic1.hackdig.com/pp/214a8a6035b31e2495d6d890f5a69a037f2d4b1230555e4efb050464effb9e7914fa09daafee5ae8ddaf8dd3d75464a6.jpg

获取IP地址

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee60143712903e5acfd0e1122d139ccb27dbc2821448e049dd56d32598b5922032.jpg

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8aff833ce92bb9036e5e80da8433e15b5891ac656d307aa2c8b35465445cfc8b69.jpg

如果第一种方式不成功,则通过访问QQ昵称接口获取IP地址:

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf7ec9725eaafe88bc5cb1daadcf345f30969daa5136fd34db10ce055927a7ec76.jpg

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8aefa75b808ce22cdcd5538e17ae396489975552468a19475f0c9cea82ae9c2aaa.jpg

获取到的QQ昵称为: deacjaikaldSS

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee4ab9d649609000251046dcc6e551f6a37b9f373301abb9515f187c1fc835c02c.jpg

对获取到的QQ昵称解密:解密算法是 + 0xCD

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968ceee45c9166269c82ebcd62e4a007fca00c3083fb98613203714d4ff006239a571e.jpg

解密后取得IP地址为: 1.207.68.91 ,开始连接:

http://pic1.hackdig.com/pp/4ae20cb14ac9d56f7929b4ff9e5d52728dff0e40de304a051ae84b26501bf8b5d26c1c5c96cf9ab390664d02d22bbcfa.jpg

循环连接这两个地址直到连接成功,连接成功后进入远控流程

获取受害者系统信息

首先获取主机名

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968ceef00505eff0bf0b03845704cd5e082b670cec2da66b3dc6fc8b0be65bc9b985ef.jpg

获取CPU型号

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad67c52692149aaf6ca09e57fec974ddc125d4d9a209d0b1acebc0a53fd99b800ea.jpg

获取其他信息等等

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517c432a1209cd555ce292044e516521548a9e8fd933327e5996a9f3146a3995c3c0.jpg

遍历进程,查找杀软进程

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8a95c25349b98f7f8aa71fe787944bbbe554ca2f2dc5add5f78ea86f92260ffdd5.jpg

检查杀软的进程名用一个双字数组来存储,每个双字的值是指向对应杀软进程名的字符串的指针。如下:

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee92aa3ba084af30d21e9059a8b3d0e3c1eb4588ecd61e9f32441e5a368d3bb883.jpg

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517c230c45164537f0c91352eca12c594d894e1572a391587182c0b1e573c41f9576.jpg

创建新线程,用于循环等待接收远控指令

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee2f563b02dfb6b6b3033664c9cc1aef40d41f8d37680b210eb8fdb3ea7c1fab0e.jpg

最后创建一个新的线程,用于接收远控指令,主要的功能有远程文件管理、远程Shell、屏幕监控、键盘记录等等,这里就不再赘述了。

代码整体流程图如下:

http://pic1.hackdig.com/pp/7c360a5426b1886df0a9cfdd6f6282831bbc7c5c1b725006c01dc0ca4c8e231cb19642c90925ec2ac3eaa636a4f68e94.jpg

幕后黑手


这种通过QQ昵称获取上线地址的方式在躲避检测的同时也暴露了放马者的QQ号,我们在通过样本拿到的QQ号中找到了一个比较特殊的:550067654

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8ac5e1d4c0c0fff55c4e29b8a24dec9839c98ac26b3e2407686867f839259dc936.jpg

通过搜索引擎,我们发现这个QQ号有可能是木马作者的一个业务QQ号,这个QQ在多个免杀论坛上注册了账号,经过进一步的确认,发现其的确是木马作者:

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf93a0555c05660a072d2b14ceee9d0d6c0252e69ff919d4f215ac1eedfc37cc45.jpg

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8a4d4329f1b7bc3d144ff24f60098990f47808450e81139a1f705537f41fb56bbc.jpg

http://pic1.hackdig.com/pp/7c360a5426b1886df0a9cfdd6f628283ef1915614becb857dd81f2f66fe336c0c5acd704de8cc530ff756e99520e0877.jpg

从作者在某论坛上展示的木马功能截图可以发现,其曾经在贵州毕节地区活动。

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee38e785d72cfefb39420f773fa5e74e7489274a0aab979f75b9b291558d38a63f.jpg

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee50f23c210a8d5828489fb8b975e74c34600c3e1553c2de227162a4c5fe4827a8.jpg

我们还发现作者用QQ邮箱账号注册了支付宝账号,通过支付宝账号的信息,发现作者的名字可能是: *怡

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968ceebf6c505bb1de603f571a2b3d5d448756eed628f17ca69dd81bfad52c45fb1012.jpg

通过某社工库,我们找到了作者经常使用的qq邮箱和密码,通过这条线索,我们找到了更多的信息:

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517c90828732e148fea37158fa713dac0f3d0570e7f5da9748b0543eedd4e6ff3456.jpg

在某商城发现了几笔订单信息,从而取到作者的名字、常在地区:

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad668cc8ca607c30795054cd68e9dc87aad8be86b6d78d8f6d5e780919ceba12d8b.jpg

http://pic1.hackdig.com/pp/7c360a5426b1886df0a9cfdd6f6282839552f90981fc35baca75526873172d0312996b41fb84f0c0a681f8ac744ba3da.jpg

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf036fd52925f402a046ad3ebc2ba4ab320048eb89d58ba52ceca21bbded480dae.jpg

http://pic1.hackdig.com/pp/caef4276da6ef4784d52dd7d3c29517c7e40ff801c11334b4fb8e7bb428a297124752522e1174c475f4b628ae54b680e.jpg

从身份证信息来看,确定作者是贵州毕节地区的人,名字就叫田怡。这也与上面获得的信息一致。

关于木马作者的追踪到此就告一段落了,有兴趣的同学们可以继续深挖,用一张天眼威胁情报中心数据关联系统生成的关系图来结束此次挖人之旅。

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad613878f70eb0343cd511b4a01591df25c8b815f35a56d606bb4c942c649c76c53.jpg

传播途径


分析完样本和木马作者之后,我们再看看该类木马的传播途径。

在我们捕获到的众多样本中,有一个样本访问的地址引起了我们的注意,通过关联,发现这是一些挂机、点击软件访问的地址,http://sos.hk1433.cc:10089/bbs.html

http://pic1.hackdig.com/pp/97721f81cf192897d44977a79bcfea8ac2ffe757a61d7f7485b1d2e1fb53b086993f0220f0652d958f8ee7830ca4beda.jpg

打开网页后,查看源代码,如下:

http://pic1.hackdig.com/pp/214a8a6035b31e2495d6d890f5a69a03f6a52e01b10fc19c146610ccea275753a77ccc444cb18873d07b64a1ef698763.jpg

可以看到,这个页面加载了一个swf文件。将这个swf文件下载后打开,发现是Hacking Team的flash漏洞利用,下图红色框出的部分就是ShellCode:

http://pic1.hackdig.com/pp/c3eab2e98ed566d0e41940afa978dad650d7bfe42e5af48d8a953ca28aef9fc2815835f14b27de9e39459e0a30be34fd.jpg

ShellCode的功能就是一个Dropper,会将之前解密出来的PE释放并执行,而这个PE文件正是Free Star木马。

解密前的PE文件:

http://pic1.hackdig.com/pp/214a8a6035b31e2495d6d890f5a69a0328e6fde0fd5b0c9777c95dade2280fa777f5b0087eee43bb352517ba279778a4.jpg

解密后:

http://pic1.hackdig.com/pp/69703ce7a46d1e2ebe4a3bf5791266bf7fcc4f1e055c897cf11c751d44e106150bb92d3032e7586339627ac7b4a5da35.jpg

ShellCode:

http://pic1.hackdig.com/pp/4ae20cb14ac9d56f7929b4ff9e5d5272a0d6b4de13c91a85f6e07d9362b9d4b0d049e64ef7b7d05585d5340329f36e9d.jpg

http://pic1.hackdig.com/pp/7c360a5426b1886df0a9cfdd6f6282832c8b541a8d45686ad5edb5b863c7f8686ab5f1252436a7d8d3c8dce63267a4cc.jpg

由此我们可以知道,该木马的传播方式之一即是通过网页挂马。

http://pic1.hackdig.com/pp/d2bd8ab8780efecdb70a25b22e968cee81c421e0b4bdbff4cd8bd58d3907342608d74c639761892d1f98e8f4a6b2cc64.jpg

通过上图可以看到挂马页面在3月28日上午9点上传,截至我们写这份报告的时间,3月29下午16点,点击量已经有13000多,而这仅仅只是冰山一角,但是在这里就不再深入。在我们的360威胁情报中心可以很容易地通过关联域名查询到对应的样本:

http://pic1.hackdig.com/pp/4ae20cb14ac9d56f7929b4ff9e5d527295530bd1c8155bd101608a09c1ac98ad2018762b0b81ed034dfaa335c0af7588.jpg

总结


通过这次分析,我们发现这个木马本身所用到的技术相当普通,与之前发现的木马基本一脉相承,体现出迭代化的演进。由于巨大的利益驱动,黑产始终保有对技术和机会的高度敏感,就象任何先进的技术首先会被用于发展武器一样,成熟可靠的漏洞利用技术及躲避检测的方案几乎肯定会立刻被黑产所使用传播。360威胁情报中心的数据基础以及自动化的关联分析为我们从样本分析、关系判定、来源追溯提供全方位的信息支持,成为我们用来对抗黑产以及其他高级攻击的强有力的武器。

本文由 360安全播报 原创发布,如需转载请注明来源及本文地址。
本文地址:http://www.hackdig.com/04/hack-33858.htm

知识来源: bobao.360.cn/learning/detail/2828.html

阅读:126932 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“Free Star木马分析与追溯”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云

本页关键词