02_sample远控

sample.exe分析报告

0x00 概述

基本信息

样本名称	sample.exe
样本类型	远控、蠕虫病毒
样本大小	27.5KB（28,160字节）
MD5	4D049BC 19B03572EF8A00980050BAFFF

简介

经过分析，该病毒样本是一个远控与蠕虫病毒的结合体，通过弱口令进行爆破局域网内的主机，进行传播。并通过访问两个C&C服务器接收远程指令，根据接收到的指令执行不同的操作，包括：下载文件并执行，更新自身，DDOS等任务。

流程图

0x01 样本细节详细分析

样本行为分析

大量网络行为

运行样本后， 该样本进行了大量的网络请求，其中不断尝试与内网IP地址192.168.1.107:83进行连接。如图1

图1

然后通过fiddler抓取到，该样本访问异常URL，下载telnet.exe。并且不断尝试与内网网段进行连接，如图2：

图2

样本详细分析

脱壳

首先用查壳工具查下壳，发现该样本是UPX壳。如图：

然后尝试用OD进行脱壳，F8单步执行一次，然后在ESP下硬件断点，F9运行到该硬件断点处，再单步几次就到了OEP处。然后dump下来，并用ImportREC工具修复IAT，但发现再该OEP处无法找到有用的信息。如图：

这时再拿查壳工具查一下dump出来的文件，发现还有一层UPX壳，如下图：

所以目前的IAT表肯定是无法修复的，继续用OD单步跟，寻找下一个OEP。单步几步就会发现，该壳程序通过LoadLibrary和GetProcAddress获取了一些壳所需要的API，如图：

随后继续单步，发现该壳程序通过获取到的virtualAlloc开辟了一段空间，并往里存储了一些数据，然后将其全部释放掉了。这里我们不管，我们只寻找下一个pushad。再走没几步，就发现了pushad，这里再进行一次UPX脱壳。

然后继续单步，直到一个大跳便会跳到函数入口。出现如下图的55 8BEC。便可以dump下来，修复IAT表了。

创建互斥体

先创建名为121212的互斥体，然后进行判断，若互斥体存在，则退出当前进程。若不存在则执行主要行为函数sub_404BD7。如图：

创建服务

创建一个名为.Net CLR的服务，并设置该服务的状态。创建服务的目的可能是用来守护该进程。

再次创建互斥体

再次创建名为.Net CLR的互斥体，如图：

枚举资源

通过调用上图中的EnumResourceNames函数，枚举二进制模块中的资源，并将读取到的资源写入hra33.dll中。如图：

更新资源段

先检索注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\.Net CLR中的ImagePath的值。

然后更新从ImagePath中获取的文件的资源段数据。

加载释放的文件

先拼接出hra33.dll,再通过LoadLibrary加载该模块。如图：

创建三个线程

连续创建了3个线程，其中第三个线程是一个死循环，不断创建执行线程3。如图：

线程1：传播扩散

• 初始化字典

  首先初始化了一个简单的字典，后面用来弱口令爆破，如图：

  

• 将主机号与网络号拼接成IP地址

  通过图中gethostbyname函数获取当前主机的IP地址信息，然后获取当前主机IP地址的所处的网段信息（网络号），并与初始化的主机号：inc_IP_408724进行拼接，将网络号与主机号进行拼接，IP地址：10.95.16.1。

  

• 弱口令爆破该网段的所有主机

  利用如图黄色标识的主机号：inc_IP_408724,然后与当前主机所在的网段（网络号）拼接出的IP地址。通过调用如下图函数WNetAddCon_copy_exec_402A40，利用之前初始话的字典，进行爆破传播。然后执行完一个IP后，主机号自加1，爆破该网段的下一个地址。直到主机号为254时停止。如下图：

  

• 爆破传播函数WNetAddCon_copy_exec_402A40

  WNetAddCon_copy_exec_402A40传入了三个值，分别是IP地址，用户名，密码。通过调用WNetAddConnection函数,用之前初始化的字典（用户名，密码），对该网段的网络资源进行连接。

  若连接成功，将自身文件拷贝到网络共享资源的多个盘符中，看哪个盘符可以拷贝成功。当拷贝成功便跳到LABEL_14:再两分钟后运行复制后的程序，从而达到通网段的传播。拷贝的目标盘符，如下表：

  拷贝的目标盘符：
  \10.95.16.1\admin$\g1fd.exe
  \10.95.16.1\c$\NewArean.exe
  \10.95.16.1\D$\g1fd.exe
  \10.95.16.1\E$\g1fd.exe
  \10.95.16.1\F$\g1fd.exe

  创建网络资源连接，复制自身代码如下图：

  

线程2：与远控服务器通信，执行指令

首先初始化了winsock服务，然后是循环，获取当前系统时间，并进行了判断当日期大于2013年2月21日后，便不断创建线程2.1，创建套接字链接远程服务器，获取指令执行命令。如图：

线程2.1：与远控服务器通信，获取指令并执行

初始化套接字，并建立链接

现通过htons函数将整型变量8090转换成网络字节顺序，初始化端口。

然后通过Swap_init_IPaddr将域名“arwah.uy1433.com”转换为IP地址，然后初始化socket，然后通过函数connect连接该套接字。如下图：

• 其中Swap_init_IPaddr，转化IP的代码如图：

获取主机信息并发送致远控服务器

先与套接字建立连接，然后执行get_info_405150获取主机信息。包括版本信息，内存大小，CPU信息，以及适配器信息等。然后将这些信息，通过套接字发送到远控服务器上。

将获取到的数据发送给远程服务器，如下图：

获取到的主机信息，如下图：

• 其中get_info_405150获取系统信息函数，如下：
• • 1.判断当前操作系统版本
  • 通过Getversion函数，获取操作系统信息，再根据获取到的操作系统信息，判断当前操作系统的版本，如图：

• • 2.获取CPU频率
  • 通过获取注册表中的键值，来获取CPU的频率信息。

• • 3.获取物理和虚拟内存信息
  • 通过GlobalMemoryStatsEx来获取系统物理和虚拟内存信息。

• • 4.获取适配器信息
  • 通过GetAdaptersInfo检索本地计算机的适配器信息，然后获取到网络适配器的网络信息。

接收指令执行操作

创建死循环，通过调用receive_info_4036C8来接收远控服务器下发的指令，然后根据下发的指令进行相应的操作，如图：

• 其中receive_info_4036C8函数，通过函数rec来接收远控服务器下发的指令或数据，如图：

接收的指令为：0x10，下载并执行

当接收到是0x10时，通过URLDownloadToFileA将接收的数据写入临时文件夹下，并以系统自启动以来的毫秒数来命名。当下载完后，运行下载后的程序。如图：

接收的指令为：0x12，更新自身

先关闭之前创建的.Net CLR互斥体，通过URLDownloadToFileA将接收的数据写入临时文件夹下，并以随机字符串命名。然后关闭之前创建的.Net CLR服务,并删除注册表项.Net CLR，然后再删除自身，运行下载后的程序。这里推测是更新自身。

• 关闭之前创建的互斥体如图：

• 下载文件，并以随机字符串命名如图：

• 关闭服务如图：

• 删除注册表项和自身文件，并运行下载后的文件，如图：

接收的指令为：0x14，打开IE

打开Iexplore.exe，并执行接收到的参数，初步推断为访问某些特殊的网站刷流量。如图：

接受的指令为：0x06，删除自身

先关闭之前创建的互斥体.Net CLR，关闭服务.NET CLR,然后再删除注册表项.Net CLR,删除自身，退出进程。

• 关闭互斥体，关闭服务，如图：

• 删除注册表项，删除自身，退出进程，如图：

接收的指令小于0x06时，进行DDOS攻击

当收到的指令小于6时，再次进行switch case判断。根据接收的参数，构造套接字，或是请求包头来进行连接。推测是进行DDOS攻击，如图：

• 其中当接收的指令为：0x02，执行sub_4030A5，根据收到的数据，初始化不同的套接字，并最终都交由LABEL_29来创建循环，不断进行链接，如图：

• 其中当接收的指令为：0x03时，执行sub_4031F0，根据接收到的参数，构造请求包头，并最终创建死循环不断进行连接，如图：

  

  • 其中sub_406C60构造的比较特殊的请求包头，如图：
  • 

线程3：与线程2.1基本一样，只是远控服务器地址为内网IP

线程3与线程2.1大体上都是一致的，唯一的区别在于远控服务器不再是arwah.uy1433.com，而变成了写死的内网IP：192.168.1.107:83。而且该IP地址是通过解密函数获取到的，如图：

除黄色标识处不同外，其他部分都与线程2.1一致，这里便不再分析。

0x02 样本溯源

C&C服务器
arwah.uy1433.com
192.168.1.107:83

0x03 查杀、防御技术方案

关闭服务

由于该样本设置了一个服务.Net CLR，所以首先先关闭服务，并删除该服务。

修复注册表

由于上面提到的该样本创建了服务，对注册表进行了修改，所以这里需要对注册表进行修复，操作如下：

• 删除注册表项HKEY_LOCAL_MACHINE\system\currentcontrolset\services.Net CLR中的所有内容。

删除病毒文件

• 删除样本本身。

• 删除释放出来的hra33.dll。

• 查看下表中的文件路径，若该文件存在，则删除。

  拷贝的目标盘符：
  \10.95.16.1\admin$\g1fd.exe
  \10.95.16.1\c$\NewArean.exe
  \10.95.16.1\D$\g1fd.exe
  \10.95.16.1\E$\g1fd.exe
  \10.95.16.1\F$\g1fd.exe

• 检查临时文件夹，是否存在以随机数命名的文件，且大小hash与该样本一致，若存在直接删除。

0x04 总结

这个样本是一个远控和蠕虫病毒的结合体，释放hra33.dll，由于该样本无法正常跑起来，因此没法详细分析该释放出来的hra33.dll。这次分析的蠕虫病毒是通过初始化一个简单的字典，通过爆破局域网内的主机来进行传播的。并且该蠕虫病毒可以通过C&C服务器获取指令，执行不同操作，主要操作有：下载文件并执行，更新自身，DDOS攻击等。