Zero Access恶意软件分析

楼主^#

更多发布于：2014-02-02 08:47

防火墙文件夹计算机执行文件比特币

◆0 前言

原文:http://resources.infosecinstitute.com/zero-access-malware/

木马Zero Access到目前为止已经在世界范围内感染了过亿的计算机，嗯，ZA(Zero Access)能够发展到这一个级别我想其中一个原因是因为恶意广告的点击，和泛滥的比特币挖掘。一旦ZA感染系统就会开始下载各种不同类型的恶意软件，总的来说无论是个人还是组织一旦遭受感染最后的损失肯定不会小。

ZA的传播媒介主要是恶意邮件和漏洞利用工具，同时也会通过分布式的p2p文件分享服务，或者是看起来像游戏破解工具和注册机的软件来传播。ZA本身是有很多独特的地方，感染之后ZA会连接到一个基于p2p的僵尸网络，之后想要继续追踪是非常难得。

ZA本身使用了先进的隐藏机制来逃避，杀软和防火墙的检测和逃避。(省略一小段扯淡的话) 可执行文件通常在%TEMP%文件夹中，通过http请求与外部网站进行通信。

一旦ZA感染你的系统，会进行如下的操作：

◆1 分析

我们一开始进行的分析过程如下：

我们的第一步是隔离受感染的机器，然后对系统进行一次扫描，初次扫描我们没有发现任何东西，但是在第二次扫描的时候我们发现在workstation中的%TEMP%文件夹新建了一个文件。

在%SYSTEM%目录中我们又发现了另外一个可疑文件，这个似乎是某种配置文件，并且该文件处在ACL保护状态下。

文件在sandbox中执行的时候进行了网络操作。

文件名称为fvshis.sav，内容已加密。

在文件运行的过程中我们提取了内存中的字符串很明显的可以看到使用了Max++ dropper组件。

图片：2015041404414499144.png

图片：2015041404414499144.png

下一步我们很happy的分析了 dropper(用于恶意软件的安装)组件，咋一看这狗日的玩意好像没加壳，

图片：2015041404414499144.png

然而之后的分析，我们发现这玩意是加过壳的，使用了一些复杂的自定义加壳器，还使用了几种不同的反debugging机制来鼓励我们友好的加班。

图片：2015041404414499144.png

int 20指令是一种系统中断。

PS: 没样本，不过应该前几个写入了int 20，利用CPU会预读取指令的特点，干扰单步跟踪。如:

mov word ptr [@@],20cdh
@@:
nop
nop

正常情况下CPU预读了2个nop，而不会执行INT 20(cd20)，但单步跟踪下来就不同了。

就是说程序可以检测自己是否处于debugging状态并且kill自己。

ZA本身还有着多层的加密机制，和他坑爹的壳。

图片：2015041404414499144.png

刚才说了现在分析的是dropper，相当于一种部署恶意软件的玩意，壳对其中的每一个段进行了加密，dropper运行的时候会一步一步进行解密，一次解密一个代码段，并且每个代码块都有INT 20(mlgb...)，如果分析狗哪里一不小心多点了几下单步，那么进程崩溃。

在我们富有基情的努力下，最后还是完成了脱壳。之后我们就发现样本尝试访问位于计算机中的一些目录。

图片：2015041404414499144.png