discuz的flash挂马漏洞分析

深蓝 · 2016-6-5 15:55

本帖最后由深蓝于 2016-6-5 16:00 编辑

攻击者主要通过在热门帖子内回复并插入经过改造Hacking Team的Adobe Flash Player漏洞（CVE-2015-5122）攻击的Flash元素，浏览帖子的用户如果没有及时更新Flash或安装可靠的安全软件，电脑会自动下载运行木马程序，感染的木马是PlugX系列远控程序。

在进入受害者系统后，它会连接位于香港的控制服务器，黑客可以由此完全控制、监视受害者电脑，窃取隐私文件以及账号密码等重要信息。由于被国内有很多都论坛允许任意用户直接插入任意外网Flash文件，这就导致黑客有机可乘。

攻击流程图：
discuz的flash挂马漏洞分析 QQ截图20160426112631.png

discuz的flash挂马漏洞分析 QQ截图20160426112631.png

该样本中使用的攻击手段：

1.该挂马者通过写注册表来过UAC
2.该挂马者通过释放一个带签名的iexplore.exe(非微软签名),来逃避杀软的查杀.
3.该挂马者通过还进行了白利用，通过将数据注入到explore.exe来进行敏感操作来逃避杀软的查杀
4.该挂马者通过利用白进程来写服务，让自己的程序以服务的形式启动。长期驻扎在用户系统中
5.该挂马者通过购买动态域名来进行挂马，让分析者很难追踪其信息

样本流程图：
discuz的flash挂马漏洞分析流程.png

样本分析：

读取主体程序中自带的被加密过的数据文件。下面是读取该资源数据

discuz的flash挂马漏洞分析资源.jpg

读取到该该资源数据后，程序先对该资源文件中的部分数据进行解密，解密后得到一个pe文件。该文件是一个dll，主体程序在内存中载入该dll。

discuz的flash挂马漏洞分析 qian_meitu_3.jpg

新解密出来的dll会先遍历进程查看是否存在杀毒软件

discuz的flash挂马漏洞分析 360.png

下面是该样本检测的杀软列表

360tray.exe 360安全卫士
qqpctray.exe 腾讯管家
alyac.exe 韩国免费杀软
kvmonxp 江民杀软
ccsvchst.exe 诺顿
baiduhips    百度
kvfw.exe       江民kv防火墙
kxetray.exe 金山
ravmonf.exe 瑞星
avp.exe          卡巴斯基
uiSeAgnt.exe 趋势科技

检测环境后就开始释放多个文件

discuz的flash挂马漏洞分析 qian_meitu_4.jpg

挂马者释放一个带数字签名的iexplore.exe，该程序带有9158(一个大型多人网络视屏平台)的数字签名。下图是正常iexplore和挂马者释放的iexplore的比较图。用白利用的方式绕过杀软的查杀

discuz的flash挂马漏洞分析 QQ截图20160427160015.png

discuz的flash挂马漏洞分析 QQ截图20160427160015.png

该挂马者通过让HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers 的键值指向新释放的iexplore处来来绕过UAC。达到以管理员权限的模式来启动“iexplore”

discuz的flash挂马漏洞分析修改注册表值.png

写好注册表后就启动iexplore，传递一个超级超级长的乱码参数，非人类设计o(╯□╰)o。

discuz的flash挂马漏洞分析启动iexplore.png

准备工作都做好了就开始毁尸灭迹了。删除自身

discuz的flash挂马漏洞分析创建bat文件.png

新创建的iexplore程序会将自身携带的数据注入到explore.exe 中

discuz的flash挂马漏洞分析注入.png

创建服务，使iexplore在用户电脑启动的时候以服务的形式自启动。以服务的形式启动一般情况下很难察觉出中招了。因为电脑平时有很多个svchost进程。

discuz的flash挂马漏洞分析创建启动项.png

写完在服务后就以服务的方式启动程序

discuz的flash挂马漏洞分析以服务的形式启动病毒.png

创建网络连接，对用户电脑进行监控

discuz的flash挂马漏洞分析信息传输.png

服务启动后，解析其域名，然后一直不停的在162.251.20.165处发送心跳包。通过反ip查询到到挂马者用的是公云动态域名。

discuz的flash挂马漏洞分析解析域名.png

信息追踪

在最近找到两个论坛中，其中该挂马着在小七论坛上注册的用户是一个老用户。从2014年就注册了，小七论坛是国内的一个免杀论坛，黑吃黑啊。在这个充满利益的地方，有多少想着给别人种马的人，却在不知不觉中已经被别人种上了马。不要老想着做不好的事，小心螳螂捕蝉黄雀在后。#j349:

discuz的flash挂马漏洞分析 23.png

这个是该挂马者在小七论坛上挂马截图，就一个简简单单的回复，平时一般这种都会被看做是水贴啥的，也不会有人会怎么去关注，但是这条回复后面却藏者一个链接。在你什么也不操作的情况下，只要触发了Adobe Flash Player漏洞（CVE-2015-5122），你就中招了。

discuz的flash挂马漏洞分析 141.png