新型僵尸网络:Wonder Botnet深入分析
CSE CybSec Z-Lab恶意软件实验室在调查暗网恶意代码时发现了一个名为Wonder botnet的新僵尸网络,该恶意软件由Downloader和真正的Bot两部分组成,通过一些规避技术躲避检测分析,隐藏自己的恶意行为。
一、概述
在调查暗网恶意代码时,ZLab研究员发现了“NetflixAccountGenerator.exe”,这个标榜可以免费创建一个Netflix服务的高级账户,但下载安装之后它并没有这样做,而是安装了一个BOT。
恶意软件的研究人员分析这个exe文件,了解到该威胁程序首次上传在9月20 日,可能是该程序编写者为了测试它的隐藏能力。该恶意程序为一个活僵尸网络,研究人员称之为Wonder botnet ,其命令和控制服务隐藏在一个网站后面,这个网站为另一个网站的镜像。
图1 左图为虚假页面,右图为原始页面
研究人员证实虚假的页面上“support.com”的链接为“wiknet.wikaba.com”,指向僵尸网络C2C的前端,有趣的是它的每一个链接都指向原始页面,研究人员点击一个链接后,被重定向到“support.com”上相应的页面。研究人员还发现了一些隐藏路径,其中包含bots使用的信息和命令。
二、组成情况
该恶意软件由两部分组成:
(1) Downloader:
一个仅用于下载和执行真正bot代码的.Net执行文件,并上传“pastebin.com/raw/E8ye2hvM”。
文件名称:wonder.exe
名称 | 详细信息 |
---|---|
MD5 | 486954967e02a2e1577bd7dd91026102 |
SHA-1 | 27b2fc98c91dddf002cda77da3f44cf9a05d7fba |
SHA-256 | c3f5f5bfe39b55ffe0343950e0a4bf0433c35679a01daf07ce6c0ccc7d4da9b7 |
文件大小 | 365 KB |
表1 Wonder下载者的属性信息
下载者的组成文件信息:
(2) 真正的Bot:
当它被下载执行后,会感染宿主,设置其持久性机制,并按照图中的流程开始其恶意行为。
Payload/Bot文件名称:Payload.exe
名称 | 详细信息 |
---|---|
MD5 | 84fdcb1f23f592543381c85527c19aaa |
SHA-1 | cc2f96a2f4dbc4b0176bab37c22a48ebfe1bac06 |
SHA-256 | 15d390626fea8d06adc261e0588ec40d17b6a62a2320313073ba94809c5e0f4d |
文件大小 | 205 KB |
表2 Wonder Bot的属性信息
Wonder Bot的组成文件信息:
通过使用一些静态分析工具,如PEiD,了解该恶意程序是基于.NET Framework,使用C#编写的。
三、行为分析
整个感染过程从Wonder.exe文件执行成功后开始,它是有效负载的下载器,它会尝试连接“pastebin.com”来检索已编码的有效负载,如果机器未联网, Wonder.exe就会出现崩溃,如下图。
图2 Wonder.exe崩溃
网络连接正常的情况下,这个下载者会尝试访问https://pastebin.com/raw/E8ye2hvM 来执行 Bot 负载。负载开始后会首先尝试解析域“wiknet.mooo.com”,由于该域名未注册,在失败后再成功解析域“wiknet.wikaba.com ”到 IP “104.200.67.190”,研究人员分析该IP指向 C2C ,访问这个网站出现上面图1中的虚假“ support.com”页面。
图3 DNS请求分析
通过对其行为的分析发现存在以下可疑活动:
(1) 如上图中所示的DNS请求。
(2) 在“AppData/Local/ Temp”路径中创建一个文件,可能用于支持bot操作。
(3) 持久性机制,添加自身链接到“C:\ProgramData\Microsoft\Windows\StartMenu\Programs\ Startup”。
Bot和C2C之间的所有通信都在TLSv1层上,所以无法看到。
四、深度分析
(1) 规避行为
和其它的恶意软件一样,该恶意软件也使用一些规避技术来躲避检测和分析,它通过查找一些虚拟库,来隐藏自己的恶意行为,如下图。
图4 Wonder Bot的规避行为分析
(2) 行为流程
Wonder恶意软件控制流程如下图所示:
图5 Wonder Bot的行为流程图
由于它的bot性质,一旦安装在受害者机器上,就必须创建一个ID来标识自己进入僵尸网络,该ID 使用MD5算法加密,并向它添加一个静态字符串。
图6 Bot ID创建
(3) 命令列表
通过进一步分析,得到Bot接收C2C的一些命令,如下表所示:
命令名称 | 命令描述 |
---|---|
KEYWORD | Add all files contained in a specific folder into a rar archive |
KEY | C彩色文字reate a file “ky” in the path. This file is a trigger to upload all info gathered to the C2C at the path “/log.php” |
KEYS | Delete the “ky” file |
REUPLOAD | Contact the C2C at the path “/FeedBack.php” |
RESTARTME | Restart the bot |
BLOCK | Create the kill switch and stop the bot |
SCREEN | Take a screenshot |
LAN | Create a file “LA” in the path. This file is a trigger to a feature not implemented yet. |
LANS | Delete the “LA” file |
USB | Create a file “us”+BOT_ID in the path. This file is a trigger to infect Removable Devices. |
USBS | Delete the “us”+BOT_ID file |
HD | Create a file “hd”+BOT_ID in the path. This file is a trigger to infect Hard Drives. |
HDS | Delete the “hd”+BOT_ID file |
SHUTDOWN | Shutdown the system |
RESTART | Reboot the system |
PROCANDSOFT | List all active processes and all installed softwares |
DEL-TEMP | Delete all files in “AppData/Local/Temp” path |
RAR | Create a RAR archive adding to it all the information gathered. The archive is sent to the C2C. |
RARM | Create a RAR archive adding to it all the information gathered in that month. The archive is sent to the C2C. |
RARW | Create a RAR archive adding to it all the information gathered in that week. The archive is sent to the C2C. |
KILL | Kill a specific process |
表3 Wonder Bot 的命令列表
C2C通过“BLOCK”命令结束恶意软件,这个命令会在“AppData/Local/Temp”路径下创建一个新文件(“ Block~” +BOT_ID),该文件也可用于避免感染。关于该恶意软件的YaraRules及详细分析可查看ZLab的分析报告,下载链接为:
http://csecybsec.com/download/zlab/Wonder_botnet_ZLab_report.pdf
转载来自 FreeBuf.COM