逆向工程演练:分析Arechclient2示例

最近，SentinelOne与vx-underground合作，首次举行恶意软件逆向分析挑战。其中，SentinelOne要求网络安全研究人员提交他们的分析成果，以展示他们的才能，并将他们的见解带给更多的人。

本文演示了一种对恶意软件样本进行逆向工程问题的解决方法，其中不仅强调了分析样本所采取的具体步骤，还强调了随着逆向的展开所进行的逻辑推理。本文展示了当研究人员面临挑战时，是如何应对并解决的。对于任何希望学习或发展其逆向工程技能的人来说，这是一个极好的例子。

本文将回顾分析ArechClient2样本的过程。包括样本的初步分析、反混淆、脱壳和提取载荷。然后分析.NET有效载荷，揭示其配置信息和C2信息。

该样本由两个文件组成，一个是可执行文件，另一个是a3x文件。经过快速简略分析，发现a3x文件是AutoIt编译的脚本。可执行文件图标是AutoIt的徽标，版权信息显示它是AutoIt。因而初步判断此可执行文件运行时可能会执行a3x文件。

在Windows沙箱中运行了该文件以快速获取信息，并立即获得了Windows Defender对其MSIL的查询结果：特洛伊木马。这表明此AutoIt部分只是第二阶段.NET二进制文件的加载程序。如果您不熟悉这些术语，“MSIL”代表Microsoft中间语言，它是.NET二进制文件编译的中间字节码。

这个a3x脚本是可读的，所以在将其放入Visual Studio Code后，可以看到如图1所示结果。

图2：DoctrineDrama函数

图3：修改后的DoctrineDrama函数

• 一个字符串
• 一个分隔符字符
• 一个确定分隔符搜索模式的可选参数

通过查看图4所示的代码完全清理的版本，在C#中重新实现了解密过程，以构建一个简单的反混淆器，如图5所示。

2. 转储有效载荷

将所有字符串解析后，尝试在字符串转储中搜索一些WindowsAPI函数名，发现了“NtResumeThread”、“CreateProcessW”、“NtUnmapViewOfSection”三个字符串，这三个结合在一起，说明恶意软件极大的可能使用了进程镂空（Process Hollowing）攻击技术。随后，在字符串转储中搜索.exe,发现了可疑的注射目标Microsoft.NETFrameworkv4.0.30319jsc.exe，它是一种基于.NET 4.x框架的Windows 10 安装自带的工具。

在这之后，则是使用x64Dbg软件调试可执行文件。在CreateProcessW函数上设置断点，从而确保在注射进程开始之前中断。运行过入口点后，收到了图6所示的弹窗消息。

图6：错误信息弹窗

这消息框声明违反了一项EULA，但在调试过程中，并未阅读或同意过相关内容，因而无法再进一步调试恶意软件。幸运的是，x64Dbg有一个内置的AutoIt EULA旁路，称为隐藏调试器（PEB）。我们能在“Debug>Advanced>Hide Debugger (PEB)”路径找到，这可以确保在提升模式下运行x64Dbg。

在处理了相对简单的反调试之后，我们让它运行。调试时，可执行文件会生成一个文件对话框，请求一个a3x文件，当在没有调试器的情况下运行时，它会自动找到脚本文件。在将其指向脚本文件后，我们让它一直运行到CreateProcessW函数上设置的断点被触发。在这一点上，jsc.exe文件将以挂起模式启动，该模式会暂时停止大部分活动和处理，但仍然保持一些基本功能以便能够迅速恢复到正常操作状态。

检查进程浏览器（Process Explorer）可确认AutoIt脚本中解密的路径确实是注入目标。并在NtResumeThread函数上添加了另一个断点，这将在注入完成后，中断执行线程恢复执行恶意软件。

图7：进程浏览器

至此，我们已经知道恶意软件是基于.NET，随后将使用ExtremeDumper从jsc.exe进程中获取托管载荷。以管理员身份运行ExtremeDumper并转储jsc.exe文件，如果没有显示，请确保使用的是ExtremeDumper的x86版本。

在写入本文时，加载程序不再运行，并显示有关Windows更新的错误消息。通过筛选字符串转储，怀疑是有某种日期检查阻止了软件的进一步执行。这可能是为了防止将来的逆向分析。幸运的是，之前已经转存下了实际有效载荷。

3. .NET有效载荷

接下来需要处理从加载程序转储的托管载荷。其内存映像被严重混淆，需要从类模块，也称为全局类型中寻找有效信息。之所以首先检查这个类，是因为它的构造函数是在程序入口点之前调用的。许多混淆处理程序在入口点前调用它们的运行时保护功能，或字符串解密之类的函数。

以上猜测是正确的， 在模块（0x06000003)中发现了一个名为“c”的字符串解密方法，如图8所示。该方法从内嵌的资源中读取加密的字符串数据，然后对其执行单个异或运算解密。用于解密的密钥是通过参数提供的，可以猜测每个字符串都有一个对应的解密密钥。

由于深层次的混淆以及与现有偷窃者具有相当相似的行为，将不再进一步调查此有效载荷。至此，我们揭示了最重要的IOCs，并对偷窃者的目标有了很好的了解。