如何进行Phorpiex僵尸网络技术分析，针对这个问题，这篇文章详细介绍了相对应的分析和解答，希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。Phorpiex僵尸网络的核心部分是一个名为Tldr的加载程序。 它负责将其他恶意模块和其他恶意软件加载到受感染的计算机。 每个模块都是单独的Windows可执行文件。 通常Phorpiex模块非常小而简单。 恶意软件配置（通常包括C＆C服务器地址，加密货币钱包和恶意有效负载的URL）被硬编码在恶意软件可执行文件中。 如果需要更新配置，僵尸网络只需将新模块加载到受感染的计算机即可。 这些模块会经常进行更新，进行细微的更改。 2019年期间发现了以下类型的模块：Loader Phorpiex Tldr.VNC Worm Module.NetBIOS Worm Module.XMRig Silent Miner.Spam Module: Self-spreading and SextortionAuxiliary modules (小型目标定位和痕迹清理模块).这些模块中的3个（Tldr，VNC蠕虫和NetBIOS蠕虫）具有自行传播功能。 例如，Tldr具有感染病毒功能，能够感染其他文件。 VNC蠕虫使用弱密码连接到VNC服务器，并尝试通过模拟用户输入来进行感染。第一部分中详细分析其中两个模块：Loader Phorpiex Tldr，VNC Worm Module.Tldr（“ TrikLoader”）是Phorpiex僵尸网络基础结构的关键部分之一。首次发现该恶意软件时，无法识别它或分析与其它僵尸网络的联系。 但是从它的二进制代码，mutex名称和逃避沙箱检测等技术可以看出，此恶意软件和Phorpiex Trik IRC bot是由同一批网络犯罪分子开发的，在Trik和Tldr C＆C服务器之间还发现了几个交叉点。目前存在大量的Phorpiex Tldr版本，每个版本具有不同的功能。分析的重点是它们共有的功能，特别是最新版本（自2019年7月起）中添加的新功能。Tldr恶意软件的主要目的是向受感染的计算机下载并执行其他模块和恶意软件。 Tldr还具有自我传播的能力，它类似于蠕虫或文件病毒，可感染其他软件。Phorpiex Tldr使用简单的沙盒规避技术。 启动后，它将调用GetModuleHandle API函数以检查进程中是否加载了以下模块之一：SBIEDLL.DLLSBIEDLLX.DLLWPESPY.DLLDIR_WATCH.DLLAPI_LOG.DLLDIR_WATCH.DLLPSTOREC.DLL然后，它枚举正在运行的进程并检查进程文件名是否为以下之一：VBOXSERVICE.EXEVBOXTRAY.EXEVMTOOLSD.EXEVMWARETRAY.EXEVMWAREUSERVMSRVC.EXEVMUSRVC.EXEPRL_TOOLS.EXEXENSERVICE.EXE较旧版本的Tldr（TldrV3，2018年5月）也会检查这些进程：然后枚举正在运行的进程并检查进程名是否以下之一：python.exepythonw.exeprl_cc.exevboxservice.exevboxcontrol.exetpautoconnsvc.exe最后，Tldr调用IsDebuggerPresent API函数检查是否正在调试恶意软件。如果一项检查没有通过，Tldr会停止执行。初始化步骤与Phorpiex Trik的初始化步骤非常相似。为了防止运行多个Phorpiex Tldr，它将创建一个具有特定硬编码名称的互斥。较早版本使用版本号的互斥锁名称，例如“ TldrV3”。 在最新版本中，每个系列的互斥体名称不同。 通常由几位数字组成，例如：“ 6486894”。下一步所有Phorpiex样本都是相同的：删除“：Zone.Identifier”替代数据流。 执行此操作是为了消除文件源是不受信任源的问题。自2019年7月起的版本（Tldr v5.0）拥有Debug特权：Tldr将自身复制到以下文件夹：%windir%%userprofile%%systemdrive% (only version from July 2019)%temp%对于Phorpiex Tldr V3，选择路径和文件名与Phorpiex Trik相同。 Tldr在这些路径下创建一个带有以“ T-”开头（在Phorpiex Trik中，名称以“ M-”开头）的子文件夹。 然后，恶意软件将其可执行文件复制到文件夹中。 例如：C:WINDOWST-9759504507674060850740winsvc.exe与Phorpiex Tldr v3不同，较新的版本仅在文件名不包含“ sys”子字符串的情况下才会进行创建复制。 它使用随机数字生成的子文件夹名称和以“ sys”开头加4个随机字母的文件名：C:WINDOWS2813528135sysjekp.exePhorpiex Tldr为创建的文件和子文件夹设置属性FILE_ATTRIBUTE_READONLY，FILE_ATTRIBUTE_HIDDEN，FILE_ATTRIBUTE_SYSTEM。然后设置注册表自动运行：HKCUSoftwareMicrosoftWindowsCurrentVersionRunHKLMSoftwareMicrosoftWindowsCurrentVersionRunTldr使用硬编码创建新的注册表值。研究样本中名称为“ Windows Operating System”：它通过注册表项添加防火墙规则：SYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileAuthorizedApplicationsList2019年7月以来的Phorpiex Tldr版本（Tldr v5）通过设置以下注册表值来禁用Windows安全功能，例如Windows Defender，安全通知和系统还原：每个恶意活动Phorpiex Tldr都会创建一个单独的线程。Crypto Clipper所有样本都包含用于窃取加密货币的功能，通过更改受感染系统剪贴板中的加密货币钱包的地址实现。恶意软件每200毫秒调用API函数OpenClipboard和GetClipboardData查询剪贴板数据。为了确定剪贴板中是否包含加密钱包地址，P免费云主机域名horpiex Tldr进行了以下检查：1、首字母是否是：1, 3, q, 2, X, D, 0, L, 4, P, t, z, G, U, E；2、长度在25到45个字符或是9个字母，或90至115个字母；3、不包含O (0x4F), I (0x49), l (0x6C)；4、只含有数字和字母；任何一项检查失败，剪贴板保持不变。 否则，它将进一步确定加密货币钱包地址类型，将其更改为硬编码值之一。 Phorpiex Tldr通过剪贴板数据的第一个字符确定类型：支持的加密货币类型包括：BitcoinBitcoin CashEthereumDASHDogecoinLitecoinMoneroZcashCrypto Clipper还处理Perfect Money钱包（金，美元，欧元）：Self-spreading该线程中实现了文件蠕虫功能。在无限循环中，Tldr使用GetLogicalDrives枚举可用的驱动器。读取“ SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer”注册表项值“ NoDrives”，从枚举中排除NoDrives Windows资源管理器策略禁用的驱动器，选择可移动和远程驱动器。在每个选定的驱动器上，将创建一个名为“ __”的文件夹，并将属性设置为FILE_ATTRIBUTE_READONLY，FILE_ATTRIBUTE_HIDDEN和FILE_ATRRIBUTE_SYSTEM，使其在资源管理器中不可见。恶意软件会使用硬编码名称（示例中为“ DriveMgr.exe”）将自身复制到此文件夹中。 Tldr获取所选驱动器的卷名称。然后在所选驱动器的根文件夹中创建一个名为“ {volume_name} .lnk”的快捷方式：%windir%system32cmd.exe /c start __ & __DriveMgr.exe & exit然后Tldr将所有文件夹从所选驱动器的根路径移至文件夹“ __”。它还会删除根路径中具有以下扩展名的所有文件：*.lnk, *.vbs, *.bat, *.js, *.scr, *.com, *.jse, *.cmd,*.pif, *.jar, *.dll, *.vbe, *.inf”这样做的原因可能是禁用在同一驱动器上的所有其他蠕虫。在Tldr v5.0中引入了一项新功能，允许恶意软件充感染其他可执行文件。此前，Phorpiex使用单独的模块来感染其他软件。恶意软件会扫描可移动和远程驱动器上的所有文件夹，并感染所有尚未感染的.exe文件。为了感染PE文件，Tldr执行以下修改：增加PE文件头中节的数量，并将头的TimeDateStamp值设置为0x0000DEAD：恶意软件还使用TimeDateStamp中的值来检测文件是否已被感染。 值0x0000DEAD转换为时间戳1970-01-01 15:50:05。使用以下查询可以在VirusTotal上轻松找到被感染的样本：pets:1970-01-01T15:50:05Tldr还会创建一个名为“ .zero”的新代码段，将恶意负载复制到该段。 修改入口点地址指向所创建节的开头。该恶意软件不会重新计算校验和，只是重置为0。恶意软件在主代码中写入其相对地址：使用值0xCCCCCCCC在模板函数中找到原始入口点：Shellcode插入受感染文件中的shellcode由几个功能组成。 不使用绝对地址，放置在任何内存位置时都能够正确运行。首先，shellcode检查文件“％appdata％ winsvcs.txt”是否存在。如果该文件存在，shellcode不会执行任何操作，只将控制权传递给感染程序的原始入口点；文件存在，则将从硬编码的URL下载并执行另一个文件：使用URLDownloadToFileW将文件下载到临时文件。 使用函数GetTempPathW和GetTempFileNameW获得临时文件的名称。 如果文件下载成功，shellcode将从该文件中删除“：Zone.Identifier” ADS，并使用CreateProcessW执行该文件。C&C检查首次运行时，Phorpiex Tldr使用C＆C服务器的硬编码列表对其C＆C服务器发出HTTP请求：Tldr为每个C＆C服务器创建一个线程。 在启动线程之前，恶意软件会创建一个空文件“％appdata％ winsvcs.txt”。 该文件用作确定恶意软件是否首次运行的标志。 如果该文件已经存在，则不会创建线程。在每个线程中，恶意软件都会查询以下URL：http://
相关推荐: Publication的 immediate_sync 属性
Publication的属性 immediate_sync 控制 Snapshot 文件的创建，如果属性 immediate_sync设置为true，那么snapshot file在snapshot agent 每次 run的时候都会创建。如果设置为false…
免责声明：本站发布的图片视频文字，以转载和分享为主，文章观点不代表本站立场，本站不承担相关法律责任；如果涉及侵权请联系邮箱：360163164@qq.com举报，并提供相关证据，经查实将立刻删除涉嫌侵权内容。
微信扫一扫 
