joined.exe (md5:607af96b03addadf28cf9280701df191) Dr.Web: Trojan.Packed.151 Kaspersky: Trojan-Downloader.Win32.Agent.abqe
From: "Shauna Hoover" olwen.davie@mairie-paris.fr
To: xxx@xxx.xx
Subject: Paris Hilton
Good afternoon, buddy.
I found nude Angelina Jolie!
See in attachment!
Bye.
¶ В самом начале выполнения натыкаемся на сюрприз: программа вызывает функцию NtDeleteValueKey (используя KiFastCallEntry, который, по сути есть инструкция sysenter), причем передает ей в качестве аргументов неинициализированные локальные переменные, в которых лежит всякий мусор. Поэтому NtDeleteValueKey в 99.9 процентах случаев должна возвращать STATUS_INVALID_HANDLE. Это значение (0xC0000008) используется как стартовое, из которого путем долгих вычислений (многочисленные "мусорные" арифметические операции), программа получает некий нужный ей адрес. Задача системного вызова здесь, видимо, - обмануть автоматические анализаторы и прочие антивирусы.
¶ Aдрес, по которому находятся зашифрованные данные изначально, ведет, казалось бы, куда-то непонятно куда. А на самом деле оказывается - в ресурсы приложения:
После того, как программа расшифровала себя, делаем дамп:.writemem unpacked0.dmp 00402088 L00009400, записывая расшифрованный файл на диск.
¶ В псевдокоде это выглядит так:
if Version.Major = 5
if Version.Minor = 0
is_win2k = 1
else
is_win2k = 0
else
is_win2k = 0
is_win2k_temp = is_win2k
После чего идет еще три блока один в один: для XP и 2003 server. Зачем столько переменных и сколько сравнений? Короче, я эти танцы с бубном не понял.
¶kernel32!CreateFileA: 7c801a24 8bff mov edi,edi 0:000> da poi(esp+4) 0012feac "C:\WINDOWS\System32\WinNt32.dll"
DLLName: winnt32.dll
StartShell: WLEventStartShell
Impersonate: 0
Asynchronous: 0
kernel32!CreateFileA:
7c801a24 8bff mov edi,edi
0:000> da poi(esp+4)
0012fc94 "C:\WINDOWS\System32\drivers\Hwo84.sys"SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
SYSTEM\ControlSet002\Services\
SYSTEM\ControlSet001\Services\
Уважаемый Х. Ваша кандидатура очень нас заинтересовала, поэтому мы бы не прочь познакомиться поближе. Предварительно вам нужно скачать наш фирменный бланк резюме resume.exe, заполнить его, и отослать нам обратно. С уважением, сетевые злодеи.
"Bot technology is rapidly evolving, often aided and
abetted, unfortunately, by the open-source movement".
00003D6C8F338A3FDD3DF3648666F55C=BE56062A5DC600 0100A634122F3553A046EC451061927C=4B6EB028151500 02007E238D780D25FD5511285E2E596E=58E941B3100A00
Когда получаешь накануне дня святого валентина поздравительное письмо со ссылкой, то ужасно хочется узнать, что же там такое, по этой ссылке. Все в один голос утверждают, что такие подозрительные ссылки ни в коем случае нельзя открывать, но мы-то знаем, что если аккуратно, то можно. Например, скачать такую страницу, а потом разглядеть внимательно в любимом текстовом редакторе.
В моем случае было нечно вроде
<meta http-equiv="refresh" content="1;url='valentine.exe'">
...
<a href="valentine.exe">blah-blah</a>
Неприкрытое приглашение стать новым пользователем вируса. Также аккуратно скачав valentine.exe, и переменовав его в .txt, чтобы ненароком не запустить, можно поковырять его изнутри.
Онлайн файл-сканнер Касперского определяет этот файл как зараженный вирусом "Email-Worm.Win32.Zhelatin.vg".
Общая схема работы вируса такова:
1. Оригинальный "valentine.exe" извлекает из своего тела кусок кода, который сначала расшифровывается, а затем распаковывается с помощью функции RtlUncompressBuffer. Этот код сохраняется в файле %SYSTEMROOT%/system32/diperto$p-$t.sys, где $p и $t - идентификаторы процесса и потока (в шестнадцатеричном формате) "valentine.exe", записывающего файл. Также создается файл %SYSTEMROOT%/system32/diperto.ini:
[config]
[local]
uport=1211
[peers]
Порт менятся случайным образом. Магическое слово "peers" может означать то, что зараженный компьютер будет входить в ботнет.
2. "valentine.exe" загружает драйвет "diperto.sys", используя функции Windows API, после чего прекращает свою работу.
3. "diperto.sys" создает устройство под названием "DRV_MODULE_MYDR", а также эвент под именем "Ir<fk^7k". Все это можно увидеть с помощью WinObj.exe
4. После инициализации, драйвер запускает новый поток в режие ядра, который, в свою очередь извлекает кусок зашифрованного кода из тела драйвера. Код "зашифрован" операцией "исключающее или" и представляет собой исполняемый файл Windows.
5. Затем находит процесс под названием "services.exe" - котнролер служб Windows, подсоединяется к нему, выделяет в адресном пространстве процесса новый блок памяти, куда записывает расшифрованный кусок кода.
6. Для передачи управления вредоносному коду, драйвер использует APC - asynchronous procedure call. Используя функцию KeInsertQueueApc он ставит в очередь на исполнение асинхронный вызов, который будет "доставлен" после любого следующего системного вызова из процесса-жертвы. После этого драйвер прекращает свою работу.
7. Вкратце все это выглядит так:На данном этапе возникает два вопроса: а) к чему все эти манипуляции? б) как нам защититься это этого зверя?
Ответ на второй вопрос, в общем-то очевиден. Достаточно закрыть доступ на запись %SYSTEMROOT%/system32, в результате самый первый шаг обламывается и вирус идет лесом. Но, представим на минуту, что он мутировал, и умеет записывать файл в любое другое место. Тогда единственное, что может нас спасти - отобрать у себя право на регистрацию и загрузку драйверов (что, по сути, аналогично праву записи в раздел реестра "HKEY_LOCAL_MACHINE\System\CurrentContro
По умолчанию, такие права есть только у группы Adminisrtrators.
Ну и теперь самый интересный вопрос - зачем столько телодвижений? А вот зачем. Обычно подобная операция внедрения кода и запуска его на выполнение производится с помощью связки "OpenProceess - VirtualAllocEx - WriteProcessMemory - CreateRemoteThread", на которую антивирусы обращают пристальное внимание. В нашем случае цепочка выглядит так: "KeAttachProcess - ZwAllocateVirtualMemory - rep movds - KeInsertQueueApc". "rep movsd" означает, что вредоносный код копируется напрямую в пространство жертвы, не используя никакие функции вообще. На сегодняшний день выявить такого рода проникновение антивирусы не в состоянии.
mov [esp], a mov [esp+4], b mov [esp+8], c call F ; calls F(a, b, c);
Во второй части рассмотрим собственно то, как работает вирус, внедренный в процесс serives.exe.
// Declares and initializes an integer variable named testInt.
CodeVariableDeclarationStatement testInt = new CodeVariableDeclarationStatement(typeof(int), "testInt", new CodePrimitiveExpression(0) );
// Creates a for loop that sets testInt to 0 and continues incrementing testInt by 1 each loop until testInt is not less than 10.
CodeIterationStatement forLoop = new CodeIterationStatement(
// initStatement parameter for pre-loop initialization.
new CodeAssignStatement( new CodeVariableReferenceExpression("testInt"), new CodePrimitiveExpression(1) ),
// testExpression parameter to test for continuation condition.
new CodeBinaryOperatorExpression( new CodeVariableReferenceExpression("testInt"),
CodeBinaryOperatorType.LessThan, new CodePrimitiveExpression(10) ),
// incrementStatement parameter indicates statement to execute after each iteration.
new CodeAssignStatement( new CodeVariableReferenceExpression("testInt"), new CodeBinaryOperatorExpression(
new CodeVariableReferenceExpression("testInt"), CodeBinaryOperatorType.Add, new CodePrimitiveExpression(1) )),
// statements parameter contains the statements to execute during each interation of the loop.
// Each loop iteration the value of the integer is output using the Console.WriteLine method.
new CodeStatement[] { new CodeExpressionStatement( new CodeMethodInvokeExpression( new CodeMethodReferenceExpression(
new CodeTypeReferenceExpression("Console"), "WriteLine" ), new CodeMethodInvokeExpression(
new CodeVariableReferenceExpression("testInt"), "ToString" ) ) ) } );
// A C# code generator produces the following source code for the preceeding example code:
// int testInt = 0;
// for (testInt = 1; (testInt < 10); testInt = (testInt + 1)) {
// Console.WriteLine(testInt.ToString());
CodeMemberField fld = new CodeMemberField("readonly string", "_name");
private readonly string _name;
for (int i = 0; (i < Count); i = (i + 1))
if ((MD.Ord == null))
try
{
System.Threading.Monitor.Enter(_sync);
//...
}
finally
{
System.Threading.Monitor.Exit(_sync);
}
initialize, goto check start: cycle body index op //i.e., i++ check: if index is in bounds, goto start
for(int i = 0; i < array.Length; i++)
Console.WriteLine("{0}", array[i]);
//initialization ($len - временная переменная).
$len = array.Length;
int i = 0;
goto check;
start:
$item = array[i];
Console.WriteLine("{0}", $item);
i++;
check:
if (i < $len)
goto start;