777水果机

777水果机

金山安全阻止Atbroker漏洞无限次触发

  2018-05-17 10:00:00777水果机

777水果机


777水果机 事件报告


777水果机 近日,金山安全中心发现微软进程atbroker.exe 存在漏洞,该漏洞可无限次触发。锁屏,触发UAC,用Cttl+Alt+Delete 快捷键都可启动,危害较大。

一般情况下,病毒会利用添加启动项、计划任务、服务的方式来实现开机启动,达到留存和活跃的目的。然而,利用atbroker.exe系统进程,实现病毒开机启动的方式并不常见。虽然该手法在2016年7月已经有被曝光,但是被发现的在野攻击却不多。

777水果机不久前,某网友机子上的某杀毒软件不停的提示有挖矿(zec币)程序在运行,删除恶意程序后,下次开机还是会不停的出现。金山毒霸安全研究员小欧在一番苦心挖掘下,终于摸清了病毒的自启、躲避杀软的攻击手法。

777水果机本次抓到的样本,通过利用atbroker.exe自启病毒母体,然后通过rundll32加载恶意模块,最后实现文件的md5修改、释放和执行挖矿程序。


777水果机 启动方式及攻击流程


锁屏或者登录时

开机启动时

运行atbroker.exe时

按下Ctrl+Alt+Del时

触发UAC时主要行为


攻击流程:


从病毒母体的自启动,到最终的挖矿程序执行,中间用了多层手法,用此方法有主要两个目的:


777水果机(1)隐藏母体,让病毒长期驻存和活跃;

(2)不断改变MD5逃避杀软查杀。

777水果机这里用红色字体标注恶意文件,用蓝色字体标注系统进程,流程如图所示



自启动:


样机上的atbroker.exe利用的注册表信息:


注册表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs下创建了一个Zlocal39的项,其中StartExe的值指向病毒母体,StartParams的内容是运行参数 woshiyizhixiaomaolv。


接下来我们分析一下具体的行为


第一层:恶意样本会先释放出一个dll文件在临时目录下,并且加载这个dll,运行dll中的一个导出函数。


我们用IDA分析的时候有个意外的收获,看到了作者的QQ,这方便了我们溯源。


777水果机


1,文件大致的执行流程如下,真正破坏的函数是95行的导出函数



777水果机2,这个恶意样本会先在临时文件夹下面创建一个新的文件夹,如下:


777水果机


3,在这个文件夹下面创建一个新的文件,文件名是随机的,如下:



777水果机4,之后会在自己的资源文件里面读取数据,并将读到的数据进行解密的操作,之后将解密后的数据写入到刚才创建的文件中去(并非读取的完整的资源,而是偏移一定位置之后的数据)。如下:


777水果机


777水果机第二层:释放出来的这个dll文件中进行恶意的破坏行为。


该模块主要是创建线程和释放挖矿文件到C:\ProgramData\GTOrigin 目录下,并解压挖矿文件到%appdata%/Wtrl目录下


777水果机


而Sub_10004A20()的关键代码如下:



释放的文件如下:


777水果机


进入到该目录下查看这些文件,其中ini的文件为加密的配置文件,Wtrl.cab是包含挖矿模块(后来证实是antpool的zec挖矿模块)的压缩包



Wtrl.cab的文件最后被释放到%appdata%/Wtrl目录下:



777水果机 接着rundll32调起Mine.exe(MD5:c849f42721cc0a0d66f405602126ecf0),运行参数 woshiyizhixiaomaolv



777水果机 Mine.exe调起ThundCloud.exe(d9c6ab06dd0ea7703eff952d40c4e4ce),运行参数依然是 woshiyizhixiaomaolv



777水果机 ThundCloud.exe最后加载同目录下的挖矿模块,用wireshark 抓包得到矿池地址,账号名和矿工名:


777水果机 溯源如下



 根据pdb路径暴露的QQ号,查到作者于12年毕业,活跃于看雪论坛,擅长windows驱动开发。


777水果机


777水果机 总结 



 atbroker.exe 是病毒很好的藏身之地。病毒再通过改变MD5和白+黑手法,能绕过大部分杀软的查杀。触发atbroker.exe来启动病毒的场景很多,包括开机自启、锁屏、UAC和参数运行等。利用该机制,使得病毒能够轻松拉活自己并长期驻存在系统中。目前,金山V8+终端安全系统可完美防御。


777水果机