注册
登录
| 关键词： 文件 命令 哈希 程序 参数 后门 卡巴 加密 斯基 |
众所周知，Platinum可以说是亚太地区技术最先进的黑客组织之一。最近，卡巴斯基实验室就发现了Platinum使用的一个新后门——Titanium（以一个自解压文件的密码命名），通过伪装成普通软件（如声卡驱动软件、DVD视频制作软件等）来隐藏自身。 受感染计算机分布根据卡巴斯基实验室的统计，到目前为止感染Titanium的计算机主要分布于南亚和东南亚。 后门简介Titanium的部署会经历一个相对复杂的过程，具体如下：
感染载体卡巴斯基实验室认为，Titanium的传播是从受害者访问带有恶意代码的本地内网网站开始的。 1 – Shellcode 传播的另一种已知方式是使用需要注入到进程（winlogon.exe）中的shellcode，但尚不清楚shellcode是如何被注入的。 Shellcode本身包含与位置无关的代码，不需要以前加载的库（Kernel32.dll除外）。它的唯一目的是连接到硬编码的C&C地址，下载加密的有效载荷（受密码保护的SFX压缩文件），然后解密并使用硬编码的拆包密码启动它。通常的命令行是：  2 – 打包器DLL 为了解密以及将解密后的文件加载到系统内存中，攻击者使用了具有相应导出函数的打包器——一个COM DLL。 此外，还有一种打包器DLL旨在从导出函数参数中获取命令行并创建新进程。 3 – Windows任务安装程序（SFX压缩文件） 这是一个受密码保护的SFX压缩文件，可以通过BITS Downloader下载。密码被硬编码在下载器中，该下载器使用“-p”命令行参数解密SFX压缩文件。 SFX压缩文件包含已编译为一个DLL 的cURL可执行代码，其目的是安装Windows任务以实现在受感染系统中的长久驻留。 4 – 木马后门安装程序（SFX压缩文件） 后门本身也被打包成一个SFX压缩文件，需要使用密码通过命令行来启动。 5 –BITS Downloader BITS Downloader是一个DLL文件，被用于从C＆C服务器下载加密文件，然后解密并启动它们，只有一个导出函数：GetVersionInfoA。 执行顺序下载器要做的第一件事就是检查它是否是使用SYSTEM用户启动的。如果是，它将使用WMI启动命令行参数（传递给下载程序DLL加载的二进制文件）；如果不是，则会将命令行参数传递到参数解析器中。 参数解析器  如果存在这些参数之一，那么下载程序将收集有关已安装的防病毒产品的信息，并将其发送给C＆C。 之后，它将下载请求发送到确认URL。作为响应，C＆C将发送回一个文件，该文件将被下载到“USERPROFILE”文件夹下。 为了解密下载的文件，下载器将使用字符串加密密钥的MD5哈希值。 确认URL请求和文件下载 默认（硬编码）URL：http://70.39.115.196/payment/confirm.gif 请求则一个字符串，例如：
有效载荷解密和启动 这是加密文件的结构：  下载程序对照数据字段哈希的计算得出的MD5检查哈希字段，如果哈希正确，则执行以下操作：
然后，下载程序指定一个命令行来启动下载的文件。如果文件是DLL，那么最后的命令行是：  如果文件是EXE：  之后，下载器将使用如下命令行删除自身：  文件启动 为了启动下载的文件，下载程序将使用WMI类Win32_ProcessStartup、Win32_Process及其方法类和字段。 使用BITS下载文件 为了下载文件，下载程序将使用BITS服务及其COM界面（名为“IBackgroundCopyManager”）。 它首先会创建一个名为“Microsoft Download”的任务，然后指定远程和本地文件路径以及超时。 木马后门安装 下载的压缩文件将被解压缩到如下文件夹中：  包含如下文件：  其中，nav_downarrow.png包含有隐藏的数据，解密后的数据包含后门命令及其参数。 PNG文件示例如下：  后门可以接受许多不同的命令，部分命令如下：
结论Platinum黑客组织的入侵手段非常复杂，涉及多个步骤，且需要所有步骤之间很好的衔接。此外，由于使用了加密和无文件技术，这就导致恶意文件很难被检测出来。 |
| 本文出处： https://www.toutiao.com/a6761648636917989900/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
