对Gootkit加载程序的调查研究

  • A+
所属分类:逆向工程

对Gootkit加载程序的调查研究

Gootkit恶意软件自2014年曝光之后,已经持续活跃6年。它利用Node.JS库执行一系列恶意任务,并且通过不断更新代码库多次升级和迭代,运用加密、混淆、反调试等手法对软件进行保护,增加其逆向过程中的复杂度,并且检测其运行环境,如果碰到可疑环境,沙箱检测则立即停止运行。凭借以上优势,其恶意代码也是在各大杀软平台查杀率最低的恶意软件之一,一度成为现今最活跃和复杂的木马之一。

经过分析,Gootkit与过去的Cobalt Strike以及其他勒索软件攻击有关联。最近的一些受害者后来遭受了SunCrypt勒索软件的攻击,不过尚不清楚这是由于Gootkit的攻击,还是因为访问权限被卖给了其他攻击者。

自2020年10月以来,我们看到针对德国用户的Gootkit案例数量增加。我们研究了整个开发过程,发现Gootkit加载程序现在能够进行复杂的行为,这使得它能够偷偷地将自己加载到受影响的系统上,从而使得分析和检测更加困难。

此功能用于部署DLL文件,过去,Gootkit与Cobalt Strike以及其他勒索软件攻击有关联。最近的一些受害者后来遭受了SunCrypt勒索软件的攻击,不过尚不清楚这是由于Gootkit的攻击,还是因为访问权限被卖给了其他攻击者。

对Gootkit加载程序的调查研究
感染媒介:恶意搜索引擎结果

在我们看到的例子中,Gootkit加载程序最初是通过从网站下载的压缩文件到达的。这些恶意网站可以在恶意搜索引擎的结果中找到,如下所示:

对Gootkit加载程序的调查研究

恶意搜索引擎结果

在这个特殊的例子中, fifa manager kostenlos 可以翻译成 fifa manager free。请注意,使用的搜索词可能有很大差异,我们只是用这个搜索词作为例子。我们还遇到了其他情况,其中搜索词是Aldi Talk postident coupon和Control Center 4 download。

点击链接进入合法网站的页面,但是,该网站已被盗用并用于托管恶意页面。上述页面看起来合法:

对Gootkit加载程序的调查研究

恶意页面

这看起来像一个合法的论坛,其帖子包含指向与搜索引擎查询相关的文件的链接。然而,这个特殊的链接比看起来更复杂。尝试从同一主机/计算机从同一URL重新下载相同文件失败,但是,从另一个文件执行此操作会成功,但是下载的文件具有与原始文件不同的哈希值。这意味着服务器会根据需要生成该文件,并且每次下载尝试都是唯一的。

对Gootkit加载程序的调查研究
分析下载的文件

下载的文件是一个ZIP文件,其中包含一个经过严格编码的JS文件,除了扩展名,该文件与ZIP文件共享相同的文件名,我们能够使用JSNice生成人类可读的代码:

对Gootkit加载程序的调查研究

混淆的代码

函数“MT71”包含一个内容很长的变量,尝试使用在线运行时(如Ideone)运行脚本失败,并显示以下错误:

对Gootkit加载程序的调查研究

错误消息

通过错误可以明显看出WScript.Shell对象正在尝试执行的操作:

对Gootkit加载程序的调查研究

部分去混淆和美化的代码

创建一个新对象(“WScript.Shell”),该对象尝试读取注册表项" HKCUSOFTWAREnTpm "。如果这个注册表项不存在,它执行以下操作:

1.空值的项将被写入HKCUSOFTWAREnTpm;

2.“bE50”的值将被设置为32;

如果项已经存在,则由于未设置“bE50”,脚本的执行将失败。很明显,此项被用作标记,以检查初始加载程序是否已在受感染的主机上执行。

为了对此脚本进行沙箱化,我们使用了来自HynekPetrak的malwarei-jail。必须添加一行以将bE50的变量定义为32;否则由于需要访问注册表项,脚本将失败。malware-jail是使用nodejs编写的一个沙盒,目前实现了wscript(Windows脚本宿主)和部分浏览器上的环境。不过至少有一部分恶意软件是通过wscript传播的,通过该沙盒我们可以分析恶意软件的行为并对其进行监控和查看。

对Gootkit加载程序的调查研究

修改后的脚本

然后使用以下命令在malware-jail中运行JS文件:

对Gootkit加载程序的调查研究

每当Javascript文件在执行时发送请求时,该命令都会返回一个404错误。它创建了以下输出文件:

对Gootkit加载程序的调查研究

testurls.json的内容,显示了恶意代码试图访问的URL

对Gootkit加载程序的调查研究

fifa_out.json的部分内容包含一些有趣的工件

查看输出的JSON文件,可以看到变量“qI27”是一个由三个域组成的数组:

www.adpm.com[.]br

windowp[.]org

www.ai-tech[.]paris

将“qI61”整行转换为可读格式,将显示以下代码块:

对Gootkit加载程序的调查研究

qI61行的内容,依次尝试连接三个目标域

该代码段定义了以下流程,并针对存储在QI27中的至少一个URL运行以下代码:

1.“Og13”将被设置为一个随机数,最大长度为100;

2.查询本地用户的DNS域:如果计算机加入了一个域,“Og13”末尾将添加278146;

3.将使用子参数启动对第1步中选择的URL的web请求:search.php?gqhncrqossifzp={the number in the variable of Og13};

4.它检查web请求a的返回码,如果不是200 (ok),脚本将进入睡眠状态,然后尝试下一个URL。

5.如果web请求是200(收到响应),则将响应存储在变量“zI11”中;

6.它检查来自服务器的响应文本是否包含“Og13”值,如果没有,它将进入睡眠状态,然后尝试下一个URL;

7.如果该值在响应中,则从“zI11”中删除“Og13”值;

8.它用变量“KT44”函数的响应替换括号中的两位数,例如(12),这个变量在这个阶段未知;

9.然后它调用另一个函数“Nm34”(目前还不知道),传递新的“va67”变量。

通过上面的信息,我们现在知道通过在搜索参数的末尾添加“278146”,则这个加载程序在域主机和非域主机之间所不同。

我们可以通过wscript.js文件更改环境变量,由于恶意脚本正在寻找环境变量“ UserDNSDomain”,它被添加到配置中,我们还更改了默认用户名:

对Gootkit加载程序的调查研究

修改后的脚本

在更改wscript.js参数以提供域之后,重新运行脚本将显示以下URL的请求:

对Gootkit加载程序的调查研究

请求的URL

基于此观察,我们现在可以在不使用--t404选项但使用--down = y选项的情况下运行jailme.js。这使我们能够发送查询并下载任何请求的文件。默认情况下,jailme.js将在60秒后停止执行脚本。现在,查询的URL的结果包括所有三个已标识的域,如下所示,并包括响应:

对Gootkit加载程序的调查研究

URL和响应

虽然我们收到HTTP 200响应,但这些响应都不包括脚本继续执行所需的随机字符串。使用我们收到的两个样本都是如此,虽然我们不确定为什么会这样,但可以肯定地说的是,如果以这种方式进行分析,则服务器当前不提供要由Gootkit下载的文件。

对Gootkit加载程序的调查研究
注册表分析

我们可以使用Gootkit已知的注册表项来测试它是否已部署在受影响的系统上。在测试计算机上,我们能够验证创建的注册表项是否存在:

对Gootkit加载程序的调查研究

创建的注册表项

可以将最后一个注册表项中的注册表值合并到PowerShell脚本中:

对Gootkit加载程序的调查研究

PowerShell脚本

该脚本大部分已编码;对其进行解码将导致以下结果:

对Gootkit加载程序的调查研究

解码后的代码

默认情况下,此代码被加载到内存中。如果将此代码保存到文件中,则证明该文件是.NET DLL文件,此特定文件被检测为Trojan.Win32.DELF.WLDT。

在.NET反编译器中打开这个特定文件会显示它还包含更多已编码的代码,使用类似的技术将内容转储到文件中表明这也是一个可执行文件。该文件被检测为Trojan.Win32.MALREP.THJBGBO,我们认为这是该加载程序传播到受影响系统的有效载荷。

对Gootkit加载程序的调查研究
总结

这个特殊的攻击突出了当今提供恶意软件的加载程序的复杂性,在没有启用任何安全解决方案的系统中,几乎没有任何攻击迹象,这使得分析和删除更加困难。

参考及来源:https://www.trendmicro.com/en_us/research/20/l/investigating-the-gootkit-loader.html

对Gootkit加载程序的调查研究

对Gootkit加载程序的调查研究


本文始发于微信公众号(嘶吼专业版):对Gootkit加载程序的调查研究

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: