社区应用 最新帖子 精华区 社区服务 会员列表 统计排行
发帖 回复
« 返回列表
  • 2058阅读
  • 2回复

[分享]Mydoom样本分析

 楼层直达
z3960 
级别: 茶馆馆主
发帖
770593
飞翔币
207694
威望
215657
飞扬币
2511651
信誉值
8
只看楼主 更多操作 0 发表于: 2021-10-20



文件检测


信息值
文件名1.virus
文件类型WIN 32 EXE
文件大小41664 bytes
MD53d466b0f8ba9f3fe03e137a34d79f682
SHA-2567c4d73c8c9e394a72cc0eeda7e3ce78340a23f40cb3f682c06715e948c09feca
加壳upx 2.90


导入函数




通过导入表函数可以看出病毒有以下行为：
  • 文件创建
  • 线程注入
  • 注册表修改
  • 网络行为


动态行为分析


regshot创建注册表快照，同时监控程序进程，使用wireshark实时监控网络行为

注册表


复制代码 隐藏代码[HKEY_LOCAL_MACHINESOFTWAREMicrosoftCryptographyRNG]"Seed"=hex:f4,9d,30,f1,c6,bc,ea,49,17,69,71,10,29,fe,0c,34,1a,7c,76,bd,cf,ab,  d9,02,17,5e,1e,43,3e,12,f7,8d,1e,0a,36,d9,4a,82,b7,5e,cb,b1,08,ea,a1,31,1c,  86,dd,21,54,de,53,28,41,a5,d8,ee,79,3d,f4,9c,62,7f,63,b4,64,ac,25,07,ba,76,  18,10,f4,aa,c9,89,87,61[HKEY_LOCAL_MACHINESOFTWAREMicrosoftDaemon][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]"JavaVM"="C:\WINDOWS\java.exe""Services"="C:\WINDOWS\services.exe"[HKEY_CURRENT_USERSoftwareMicrosoftDaemon][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerFileExts.vir][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerFileExts.virOpenWithList][HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternet SettingsConnections]"SavedLegacySettings"=hex:3c,00,00,00,5b,01,00,00,01,00,00,00,00,00,00,00,00,  00,00,00,00,00,00,00,00,00,00,00,19,00,00,00,68,74,74,70,3a,2f,2f,31,32,37,  2e,30,2e,30,2e,31,2f,77,70,61,64,2e,64,61,74,f0,b0,88,2c,93,41,d3,01,01,00,  00,00,c0,a8,f4,83,00,00,00,00,00,00,00,00
  1. 创建servers.exe和java.exe
  2. C:\WINDOWS\java.exe和C:\WINDOWS\services.exe设置为自启动
  3. 设置http://127.0.0.1/wpad.dat为代{过}{滤}理服务器，HTTP会话劫持

备注：
随机种子：[HKEY_LOCAL_MACHINESOFTWAREMicrosoftCryptographyRNG]


进程行为



  1. 临时路径下创建services.exe和java.exe使用,"C:UsersHK_MAY~1AppDataLocalTempservices.exe"
  2. 主程序与services.exe进行通讯（services.exe->主程序->网络）
  3. services.exe设置浏览器代{过}{滤}理


网络行为


既然有浏览器和邮件的相关恶意行为，那么主要看HTTP，HTTPS，SMTP，DNS协议

  1. 通过浏览器查询信息
  2. 发送邮件，信息如第三张图

通过上面动态分析，总结和推测如下
  1. 释放文件services.exe和java.exe
  2. 修改注册表，设置随机数种子、开启自启程序、HTTP代{过}{滤}理
  3. services.exe通过劫持会话，作为本地主程序与网络的中间服务器，发送邮件信息到网络，接受网络数据到主程序


静态分析



主程序分析



全局分析




创建互斥体


主机+root，将非字母替换为大写字母，以此命名互斥体，确保一个病毒运行


释放文件


1.在系统临时目录创建zincite.logC:Users10245AppDataLocalTempzincite.log2.释放services.exe，并运行

servers.exe元数据

创建java.exe


设置自启项


将C:Windowsjava.exe写入注册表自启动HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

创建线程关闭rctrl_renwnd32,ATH_Note,IEFrame窗口


创建线程,从浏览器获取并筛选邮箱地址，构建欺骗邮件信息
首先判断了网络状态


首先进入通过搜索引擎获取同类型邮箱地址



构造搜索链接



构造参数



参数1包括： 复制代码 隐藏代码contact+mailcontack+emailcontact+e-mailreplymailto
通过@后的域名+参数1或参数1+@后的域名构建最终的参数

搜索链接形式包括 复制代码 隐藏代码http://www.altavista.com/web/results?q=%s&kgs=0&kls=0&nbq=%dhttp://www.altavista.com/web/results?q=%s&kgs=0&kls=0http://search.yahoo.com/search?p=%s&ei=UTF-8&fr=fp-tab-web-t&cop=mss&tab=&n=%dhttp://www.google.com/search?hl=en&ie=UTF-8&oe=UTF-8&q=&num=%d
前一个参数为之前构造的字符串，后一个表示搜索数量20/50随机

筛选域名与用户信息



筛选域名信息




嵌套循环，外层获取到的域名字符串，内层指定域名字符串，只要获取到的域名中包含了其中指定的字符串，就会排除。 复制代码 隐藏代码avp,syma,sarc.,microsoft,msdn,msn.,hotmail,panda,spersk,yahoo,sophos,example,domain,uslis,update,trend,foo.com,bar.,secur,seclist,gmail,gnu.,google,arin.,ripe.,sourcedorge,sf.net,rarsoft,winzip,winrar

用户信息排除



全字符匹配 复制代码 隐藏代码infonoonenobodynothinganyonesomeoneyouryoumeratingsitesoftnofoohelpnotfestecagold-certsthe.batpage
子串匹配 复制代码 隐藏代码adminsupportntivisubmitlistservbugssecurprivacycertificaccounsamplemasterabusespammailer-d

构建欺骗邮件与附件




构建欺骗邮件信息




发件人信息构造方式


复制代码 隐藏代码tb1 = ["Mail Delivery Subsystem","MAILER-DAEMON","Returned mail","Bounced mail","The Post Office","Post Office","Automatic Email Delivery Software","Mail Administrator","Postmaster"]tb2 = ["MAILER-DAEMON","noreply","postmaster"]
这两个列表随机组合，最终组合形式tb1+<+tb2+@+域名+>，例如The Post Office<noreply@qq.com>

邮件主题


作为发送失败的信息 复制代码 隐藏代码Returned mail: Data format errorReturned mail: see transcript for detailsDelivery reports about your e-mailMail System Error - Returned MailMessage could not be delivereddelivery failedreportteststatuserrorhihello
指定附件类型


实际上，这里就是分为了两部分，前部分伪造信息为htm,html,txt,doc，后部分为com,pif,scr,exe，实际上后部分才是附件真正的格式。例如pwd.txt .exe
或者直接为.zip文件

构建欺骗邮件信息



参考：https://famguardian.org/Subjects/Computers/Security/ImpersEmailAddr.htm

提取附件邮箱信息


递归遍历目录，获取指定后缀文件中的邮箱地址

递归遍历目录C:Local SettingsTemporary Internet Files.，获取指定文件包含的邮箱信息



查找指定后缀文件中的邮件信息，并且也对其中的信息进行了筛选 复制代码 隐藏代码.pl*.ph*.tx*.tbb.ht*.asp.sht.dbx.adb.wab
递归遍历硬盘驱动器或闪存驱动器（字符从C增加），获取指定后缀文件中的邮箱地址

这里还有一些邮件的内容信息


services.exe


信息值
文件名services.exe
文件类型WIN 32 EXE
文件大小8192 bytes
MD5b0fe74719b1b647e2056641931907f4a
SHA-256bf316f51d0c345d61eaee3940791b64e81f676e3bca42bad61073227bee6653c
加壳UPX 2.90



包含文件行为，注册表修改，网络行为

静态分析




主要做了三件事
  1. 对zincite.log文件操作
  2. 修改注册表，设置services.exe为自启项
  3. 绑定端口号1034，作为服务器开放监视端口（后门）

java.exe和主程序相同的
信息值
文件名java.exe
文件类型WIN32 EXE
MD590c2d4ca3613c5d17f1c938ce076fef2
文件大小41664 bytes


IOC信息

复制代码 隐藏代码家族：Mydoom描述：MyDoom是一种通过电子邮件附件和P2P网络Kazaa传播的病毒,当用户打开并运行附件内的病毒程序后，病毒就会以用户信箱内的电子邮件地址为目标，伪造邮件的源地址，向外发送大量带有病毒附件的电子邮件，同时在用户主机上留下可以上载并执行任意代码的后门。MD5S:3d466b0f8ba9f3fe03e137a34d79f68290c2d4ca3613c5d17f1c938ce076fef2b0fe74719b1b647e2056641931907f4aIPS15.54.159.1494.240.75.254TTPSUPX加壳邮件发送失败返回注册表修改自启项递归遍历获取邮箱信息搜索引擎构建链接获取邮箱信息文件特征字符串java.exeservices.exezincite"Mail Delivery Subsystem","MAILER-DAEMON","Returned mail","Bounced mail","The Post Office","Post Office","Automatic Email Delivery Software","Mail Administrator","Postmaster","MAILER-DAEMON","noreply","postmaster"Returned mail: Data format errorReturned mail: see transcript for detailsDelivery reports about your e-mailMail System Error - Returned MailMessage could not be delivereddelivery failedreportteststatuserrorhihello
关键词: bot 系统 格式 浏览器 服务器
分享到 淘江湖 新浪 QQ微博 QQ空间 开心 人人 豆瓣 网易微博 百度 鲜果 白社会 飞信
我不喜欢说话却每天说最多的话，我不喜欢笑却总笑个不停，身边的每个人都说我的生活好快乐，于是我也就认为自己真的快乐。可是为什么我会在一大群朋友中突然地就沉默，为什么在人群中看到个相似的背影就难过，看见秋天树木疯狂地掉叶子我就忘记了说话，看见天色渐晚路上暖黄色的灯火就忘记了自己原来的方向。
回复 引用
举报
任逍遥 
级别: 超级版主
发帖
837229
飞翔币
228806
威望
224673
飞扬币
2466001
信誉值
0
只看该作者 1 发表于: 2021-10-20
来看一下
快乐每一天
回复 引用
举报
任逍遥 
级别: 超级版主
发帖
837229
飞翔币
228806
威望
224673
飞扬币
2466001
信誉值
0
只看该作者 2 发表于: 2021-10-20
不错，了解了
快乐每一天
回复 引用
举报
发帖 回复
« 返回列表