全球最大僵尸网络自毁 火绒起底Emotet与安全软件对抗全过程
一、详细分析
恶意文档
钓鱼邮件中带毒宏文档执行后,主机会向C&C服务器发送请求,下载执行真正的Emotet木马可执行程序。加载执行Emotet木马的方式会根据木马的形式不同而不同,通常与宏病毒中的代码配合完成加载(比如动态库形式的木马需要用rundll32加载执行)。在我们举例的Emotet宏文档病毒代码中,会通过命令行启动执行带命令行的powershell,依次尝试从几个不同的C&C服务器下载动态库形式的木马模块,如果下载成功则使用rundll32加载执行。相关现象及代码,如下图所示:
Emotet外层混淆器
Emotet木马模块的外层为混淆器,用于对抗分析和杀软查杀。随着Emotet病毒的长时间的演变,外层的混淆器也在不断进行变化。从对Emotet家族的样本分析来看,外层混淆器具有阶段性特征,但每个阶段之间并没有直 接的演化关联。并且当对外层混淆器特征进行样本查询时,发现存在不同家族使用相同混淆器的情况,因此猜测病毒使用的混淆器可能不是Emotet团伙自身维护。在各阶段的混淆器中存在常见的对抗虚拟沙盒的手段,如冷门API调用, 检查具体函数实现等。相关代码,如下图所示:
Emotet内层恶意代码
二、同源样本分析
外层混淆器
内层恶意代码
三、附录
赞 (0)