SideWinder投递COVID素材样本分析

标签：ecb   use   ie8   code   博客   压缩   com   selection   文件名   

? 诱饵分析：

① lnk欺骗点击，诱饵名”Pak_Army_Deployed_in_Country_in_Fight_Against_Coronavirus”，提取url如下，黑加白利用：

?
②下载js恶意文件，经过了大量混淆和加密如下图所示：

?
③ 标签类型浏览器嵌入执行，ActiveXobject标识对象支持IE6~IE8版本。修改js脚本，执行恶意代码记录污染的生命周期，经历了三个阶段：
??3.1数据解密
??3.2 创建对象，枚举文件找c#环境，遍历进程，获取系统杀软与版本信息
??3.3 下载file.hta，诱饵文档.pdf

?
?

? file.hta分析

?
④ 内存中调用加载器.Net程序，work方法执行x,y参数，提取stinstller.exe和x,y变量，分析如下：

?
⑤ 内存中解密，OD附加提取Stinstaller，如下所示：

?

⑥ Stinstaller.exe分析：
Stinstaller感染过程经历以下阶段：
??1.环境变量(用于释放使用)
??2.注册表自启动持久化
??3.创建目录 c:\progarmData\xxxx

?
??4. 内存中解密Duer.dll，NqrvhJ4.tmp(dll)，rekeywiz.exe和配置文件，写入文件夹中。


?

⑦ rekeywiz.exe加载Duser进行c2下载，解密加载。

?

? NqrvhJ4.tmp分析

核心目标数据窃取和上传
1.初始化配置信息，用来指定窃取文件类型和上传目录等配置：

?
2.GetTimerCallback下载指定Url文件

?

3.窃取文件，保存在固定文件夹下，文件后缀随机字符+特定字符串

?
4.采集系统数据，文件重命名指定后缀.sif

?
5.PostTimerCallback用于上传指定文件

?
6.更新注册表中解密数值，从注册表HKCU\Sotfware\Authy读取解密配置，遍历文件找到特定的文件，配置信息加密后保存到注册表中。

?
7.标识指定后缀指定类型

?

?

8.上传注册表中指定后缀的文件，gzip全压缩上传


?
9.json字段填充标识

?

?
?

? 情报：

?
??从诱饵文档可知主题仍与巴基斯坦相关，SideWinder与巴基斯坦安全长久以来保持安全对抗关系。19年开始SideWinder对我国政府教育等机构展开了趋势，意图窃取敏感信息.

? IOCs:

3c9f64763a24278a6f941e8807725369
120e3733e167fcabdfd8194b3c49560b
7442b3efecb909cfff4aea4ecaae98d8
40fd59323c3883717faca9424b29b9aa

SideWinder投递COVID素材样本分析

标签：ecb   use   ie8   code   博客   压缩   com   selection   文件名   

原文地址：https://blog.51cto.com/13352079/2495961