俄罗斯套娃式的.net样本分析（使用dnspy）

俄罗斯套娃式的.net样本分析

最新推荐文章于 2021-10-25 11:24:01 发布
分类专栏： 病毒分析

文章目录

 

前言

原来没有分析过.net的恶意程序，偶然发现了一个使用了Agent Tesla间谍软件生成的木马，看到有不少分析的文章了，就自己分析一下，记录一下分析过程。

描述

原始文件是由c#编写的，内部包含两个资源，一个是图片，另一个是DLL文件。程序运行时会先将DLL文件在内存中释放出来。然后在DLL文件中使用解密函数将图片中隐藏的文件解密出来。隐藏的文件会设置计划任务，并解密出来一个PE文件来执行窃密操作。

.net分析

静态查看

使用dnspy对.net文件进行调试，https://github.com/0xd4d/dnSpy/releases ，在这里进行下载。

dnspy左侧是一些程序集，右侧是程序集对应的代码
在这里插入图片描述

先静态看看有什么内容，发现有两个资源，一个是图片，另一个似乎是PE文件

在这里插入图片描述

关键函数应该是这里

在这里插入图片描述

原始文件调试

调试时可以在入口点停下，也可以下断点。

在这里插入图片描述

在此函数中将执行关键函数。

在这里插入图片描述

执行上述函数就会到达 PhotoDirector.dll 的函数中

在这里插入图片描述

解密DLL调试

使用自身的解密方式来进行解密操作

在这里插入图片描述

可以看到解密出来了一个PE文件

在这里插入图片描述

解密.net文件分析

将文件dump出来继续分析，将从恶意程序中解密出来的文件复制到指定目录中。

在这里插入图片描述

解密资源中的xml文件，并将其放入临时文件中

在这里插入图片描述

获取信息准备设置计划任务

在这里插入图片描述

获取schtasks.exe，设置计划任务

在这里插入图片描述

在这里插入图片描述

计划任务已设置

在这里插入图片描述

运行之后，系统就提示检测到恶意软件，然而感觉似乎没有运行啊，就猜想会不会有其他的地方又解密出来一个恶意程序。
暂时不晓得该怎样调试，就在所有的类中添加了类断点，运行之后原来在程序的入口点之前恶意文件就已经被解密了。不过这个方法是只能是在类较少的情况下使用，不然断点太多了好麻烦的。

在这里插入图片描述

PE文件分析

将程序dump下载进行分析，基本操作就是获取系统下载软件信息，窃取用户的各种账号密码，

在这里插入图片描述

获取发送信息的地址

在这里插入图片描述
拼接GET信息

在这里插入图片描述
密码字典爆破，用自设的用户名登录电脑

在这里插入图片描述

执行批处理文件，将恶意程序与自身删除

在这里插入图片描述

总结

看了几个不同的利用 Agent Tesla 间谍软件生成的木马，基本都是利用了图像来解密隐藏的恶意文件的，这个也许就是 Agent Tesla 的特征吧。。。
不过这个样本还是很有意思的，像是个俄罗斯套娃。。

 
posted @   bonelee  阅读(80)  评论(0)  编辑  收藏  举报
相关博文：
· 恶意代码分析 动态行为分析 Lab3-1 Lab3-2 Lab3-3 Lab3-4
· Netwalker无文件勒索软件分析——使用混淆的ps脚本，本身充当DLL加载程序，将勒索软件DLL写入explorer.exe的内存空间并执行（进程注入）
· 【THM】Intro to Malware Analysis(恶意软件分析简介)-学习
· .net调试exe或dll文件的反编译工具：dnSpy
· 20192409潘则宇 实验四 恶意代码分析实践
阅读排行：
· 全程不用写代码，我用AI程序员写了一个飞机大战
· MongoDB 8.0这个新功能碉堡了，比商业数据库还牛
· 记一次.NET内存居高不下排查解决与启示
· 白话解读 Dapr 1.15：你的「微服务管家」又秀新绝活了
· DeepSeek 开源周回顾「GitHub 热点速览」
历史上的今天：
2022-07-28 开集识别——流形
2022-07-28 如何修改smb服务的默认445端口?——官方回答是无法修改，但是可以使用端口转发
2022-07-28 smb和rdp暴破差异分析
2018-07-28 图算法检测僵尸网络
2017-07-28 python fuzzy c-means demo
2017-07-28 python matplot 绘图
点击右上角即可分享
微信分享提示