黑产组织攻击样本的一些对抗技术

安全分析与研究

专注于全球恶意软件的分析与研究

前言概述

原文首发出处：

先知社区作者：熊猫正正

笔者针对某个黑产组织的一批攻击样本进行了详细跟踪分析，从这批攻击样本可以看出黑产组织一直在更新自己的攻击武器，里面使用了多个不同的对抗手法，包含代码混淆、加壳、反虚拟机、反调试等技术。

详细分析

对抗技术一：代码混淆

对比黑产组织之前的攻击样本和最新的攻击样本，如下所示：

最新的攻击样本，导入函数如下所示：

通过动态分析，发现前面的部分代码与此前旧样本的攻击代码基本一致，访问腾讯的ntp服务ntp5.tencent.com的方式进行反调试，同时最新的攻击样本还使用了一些反虚拟机反沙箱的技巧，旧样本的相关代码，如下所示：

然后在内存中解密出shellcode代码，如下所示：

将解密出的shellcode代码注入到进程当中，如下所示：

调用注入的shellcode代码，如下所示：

解密出来第一段shellcode代码，如下所示：

第一段shellcode会加载后面的DLL模块文件，如下所示：

DLL模块文件核心代码，如下所示：

加载执行DLL模块之后，解密出第二段shellcode代码，如下所示：

解密出来第二段shellcode代码，如下所示：

发现该段shellcode代码里面包含HWSyscalls代码，如下所示：

HWSyscalls代码地址:

该shellcode解密出Payload后门，如下所示：

通过分析该Payload为AsyncRAT后门，如下所示：

远程服务器域名地址为：

no2.agentwindows.college、webwhatsapp.cc，如下所示：

配置信息解密代码，如下所示：

对抗技术二：反虚拟机(反沙箱)

样本在虚拟机中运行之后，直接退出了，使用了反虚拟机手段，查壳发现样本使用了ENIGMA(5.X)[-]壳加密，如下所示：

脱壳之后，如下所示：

长亭百川云 - 文章详情