扫码领资料

获网安教程

本文由掌控安全学院 -   sgrzhou 投稿

来Track安全社区投稿~  

千元稿费！还有保底奖励~（https://bbs.zkaq.cn）

一. 样本概述

一个典型的压缩包钓鱼木马，使用快捷方式迷惑受害者，引导受害者点击，进而执行恶意代码，最终通过反射加载执行最终的cs马。

二. 样本分析

2.1 基本信息

解压压缩包发现只有一个文件，其中一个是docx文件，只有2KB大小，但是压缩包有29MB，那肯定是被隐藏了，通过文件夹设置能够看到其实是有两个文件的，其中docx文件是一个快捷方式。

img

三. 样本分析

3.1 快捷方式文件分析

3.1.1 执行流程

该docx指文件向ftp.exe程序，去执行initliblibcurl.dat文件。

img

libcurl.dat文件为文本文件，里面记录了ftp.exe需要执行的指令其中值得关注的就是调用Java进程执行initlib目录下jar包中的startup函数

img

经过分析后发现startup函数在eaio.jar包中，在startup函数中可以看到会调用string.Sign()函数解密出一段byte[] SignData数据，随后交给user.login函数加载。

img

在Sign函数中会调用system.WriteStart函数，这个函数用于设置自启动，该函数会首先在C:ProgramData目录下随机生成5位字符串%random5%并和字符串java*结合，创建java*%random5%文件夹，随后将恶意程序拷贝到该目录下，并创建快捷方式，并将快捷方式放入自启动目录中。Java代码如下：

img

img

img

继续观察login函数，可以看到这个函数使用反射加载去加载sign中的字节码文件，最终调用sign中的startup函数。

img

img

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

原文始发于微信公众号（掌控安全EDU）：记一次恶意样本分析