安全分析与研究
专注于全球恶意软件的分析与研究
前言概述
原文首发出处:
https://xz.aliyun.com/t/14610
先知社区 作者:熊猫正正
近日在微步沙箱平台闲逛的时候,发现一个有意思的样本,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/6-1718327960.png)
沙箱动态检测,相关恶意行为没有跑出来,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327960.png)
相关网络行为也没有跑出来,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/6-1718327961.png)
从名字上来看,如果样本是恶意的,猜测这大概率是一个红队样本,但是沙箱没有跑出来,里面肯定包含强对抗技术了,对于这类免杀强对抗型的攻击样本,里面包含很多攻击技术和免杀技术,都值得去深入的分析和研究,从别人的样本中去学习别人的免杀对抗技术。
详细分析
1.样本伪造成企业微信的安装程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327961.png)
2.遍历当前目录下的文件个数以及对比文件信息,如果不满足条件,则退出程序,这里有三处比较,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/10-1718327961.png)
3.获取系统最近使用目录下的文件个数,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327962.png)
4.如果最近使用目录下的文件个数小于5,或者GetTickCount的值小于0x75300,则退出程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/2-1718327962.png)
5.获取时间间隔信息,如果不满足条件,则退出程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327963.png)
6.遍历系统服务信息,如果发现VMWare或Virtual Box等服务,则退出程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/5-1718327963.png)
7.获取系统内存大小,如果不满足条件,则退出程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327964.png)
8.如果满足条件,则执行下面的操作,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327965.png)
9.解密出相应的URL地址,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/9-1718327965.png)
10.然后通过URL向服务器端发起请求,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327967.png)
11.解密出相应的URL地址,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/9-1718327967.png)
12.弹出一个迷惑性对话框,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/0-1718327969.png)
13.通过URL从远程服务器上下载加密数据,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/5-1718327970.png)
14.对加密的数据进行解密,解密过程,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/5-1718327970.png)
15.解密之后在指定的目录生成恶意程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/3-1718327971.png)
16.生成的恶意程序,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/3-1718327972.png)
17.最后通过ShellExecuteW调用生成的恶意程序,并带参数baidudocument执行,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327973.png)
18.恶意程序运行之后,判断是否包含参数,如果不包含,则直接退出,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1718327974.png)
19.解密出解密密钥N0n-FJTiMJa871z,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327974.png)
20.通过密钥解密出URL地址,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327975.png)
21.通过URL向服务器端发起请求,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/1-1718327976.png)
22.将加密的数据拷贝到内存当中,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/1-1718327978.png)
23.加密的数据硬编码在程序中,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/8-1718327978.png)
24.在内存中解密出ShellCode代码,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327978.png)
25.分配内存空间,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/9-1718327979.png)
26.将解密出来的ShellCode代码拷贝到该内存空间当中,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/5-1718327980.png)
27.然后创建线程执行ShellCode代码,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/1-1718327981.png)
28.ShellCode代码,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327982.png)
29.远程服务端的IP地址8.138.124.182,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/4-1718327983.png)
30.ShellCode代码匹配到相关的CS特征,如下所示:
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1718327983.png)
通过分析该样本可能为某红队攻击样本,具有强对抗性,加密算法是经过设计的,反沙箱做的也还可以,自动化沙箱没有跑出相关的恶意行为以及C2服务器地址。
威胁情报
![针对一个强对抗红队攻击样本的详细分析 针对一个强对抗红队攻击样本的详细分析](https://ctfiot.oss-cn-beijing.aliyuncs.com/uploads/2024/06/7-1718327983.png)
总结结尾
做安全,免杀是一个永恒的话题,是一场猫捉老鼠的游戏,通过研究一些对抗型的攻击样本,可以更好的了解攻击者在使用什么技术。
原文始发于微信公众号(安全分析与研究):针对一个强对抗红队攻击样本的详细分析