NovaLoader:一款针对巴西银行的恶意软件家族

2019-05-23 38264人围观 ,发现 2 个不明物体 WEB安全

1.jpg

写在前面的话

近期,研究人员检测到了一个非常有趣的针对巴西银行的恶意软件活动。这款恶意软件名叫NovaLoader,采用Delphi开发,并且使用了Visual Basic Script(VBS)脚本语言来扩展其他功能。虽然最终的Payload不算新颖,而且也有很多研究人员已经研究过了,但我们这一次发现的多阶段Payload传播却是之前没有出现过的。

传播方法

在之前的样本中,这款恶意软件所采用的传播方法包括垃圾邮件、社工活动以及钓鱼网站等等。攻击者使用了各种参数和选项来确保恶意软件的传播,并尝试绕过安全防护产品的检测。一般来说,他们主要利用的都是热门的合法服务,比如说Dropbox、GitHub、Pastebin、AWS以及GitLab等等,而且还会使用类似No-IP和DynDNS等动态DNS服务。

根据研究人员的分析,NovaLoader在其感染链中使用了Autolt、PowerShell和Batch脚本,但这是我们首次发现它竟然还使用了VBS。除此之外,在此次攻击活动中,它还使用了加密脚本,而不像之前那样只是对脚本代码进行了混淆处理。

主Dropper

MD5:4ef89349a52f9fcf9a139736e236217e

这款恶意软件的主Dropper比较简单:它唯一的作用就是解密嵌入其中的VB脚本,并运行解密后的脚本:

3.png

第一阶段脚本

下图为嵌入脚本解密前和解密后的代码。

这个VBS文件将会解密一个URL地址(dwosgraumellsa[.]club/cabaco2.txt),并下载另一个加密脚本,然后在该脚本解密后运行脚本:

5.png

第二阶段脚本

下载下来的VB脚本解密后的部分代码段如下所示:

6.png

VB脚本会向“http://54.95.36[.]242/contaw.php”发送一个GET请求,很可能是为了让远程C2服务器知道它已经成功在目标系统上运行了。接下来,它会尝试使用WMI查询并检测当前是否为虚拟机环境:

7.png

NovaLoader将会把下面这些可执行文件拷贝到目录“C:\\Users\\Public\\”中:

C:\\Windows\\(system32|SysWOW64)\\rundll32.exe

C:\\Windows\\(system32|SysWOW64)\\Magnification.dll

接下来,它会从以下地址下载一些依赖文件:

32atendimentodwosgraumell[.]club

32atendimentodwosgraumell[.]club/mi5a.php文件在解密之后会存储到“C:\Users\Public\{random}4.zip”。

32atendimentodwosgraumell[.]club/mi5a1.zip文件会存储为“C:\Users\Public\{random}1.zip”。

32atendimentodwosgraumell[.]club/mi5asq.zip文件的存储路径为“C:\Users\Public\{random}sq.zip”。

然后它会向“54.95.36.242/contaw{1-7}.php”发送多个GET请求:

9.png

GET/contaw.php

GET/contaw2.php?w={redacted}BIT-PC_Microsoft%20Windows%207%20Professional%20_True

GET/contaw3.php?w={redacted}BIT-PC

GET/contaw4.php?w={redacted}BIT-PC

GET/contaw5.php?w={redacted}BIT-PC

GET/contaw6.php?w={redacted}BIT-PC_2/1/2019%205:05:06%20PM

GET/contaw7.php?w={redacted}BIT-PC_2/1/2019%205:05:06%20PM_CD=414KbCD1=9160Kb_

除此之外,它还会向“C:\Users\Public\”目录存储多个恶意文件:

10.png

最后,它将会使用拷贝过来的rundll32.exe文件来解密DLL并导出功能函数:

11.png

第三阶段的Payload是一个DLL文件,它将作为最终阶段Payload的加载器。它通过rundll32.exe运行,主要功能就是解密和加载最终阶段的Payload。

最终Payload

最终阶段的Payload采用Delphi开发,并且包含用户凭证窃取(针对各大巴西银行)在内等多种功能。而且它还会监控浏览器窗口的标题,如果检测到了匹配的巴西银行名称,恶意软件将会控制目标系统并与恶意C2服务器建立连接,然后阻止用户访问真正的银行网银页面,并在后台进行恶意操作。

恶意软件所使用的部分命令如下:

恶意软件中跟银行有关的部分字符串如下:

13.png

入侵威胁指标IoC

MD5:

60e5f9fe1b778b4dc928f9d4067b470b

4ef89349a52f9fcf9a139736e236217e

100ff8b5eeed3fba85a1f64db319ff40

99471d4f03fb5ac5a409a79100cd9349

cb2ef5d8a227442d0156de82de526b30

a16273279d6fe8fa12f37c57345d42f7

ac4152492e9a2c4ed1ff359ee7e990d1

fdace867e070df4bf3bdb1ed0dbdb51c

4d5d1dfb84ef69f7c47c68e730ec1fb7

6bf65db5511b06749711235566a6b438

c5a573d622750973d90af054a09ab8dd

ef5f2fd7b0262a5aecc32e879890fb40

35803b81efc043691094534662e1351c

34340c9045d665b800fcdb8c265eebec

a71e09796fb9f8527afdfdd29c727787

5a9f779b9cb2b091c9c1eff32b1f9754

a7117788259030538601e8020035867e

cb9f95cec3debc96ddc1773f6c681d8c

 a7722ea1ca64fcd7b7ae2d7c86f13013

URL:

185[.]141[.]195[.]5/prt1.txt

185[.]141[.]195[.]81/prt3.txt

185[.]141[.]195[.]74/prt1.txt

dwosgraumellsa[.]club/cabaco2.txt

wn5zweb[.]online/works1.txt

23[.]94[.]243[.]101/vdb1.txt

167[.]114[.]31[.]95/gdo1.txt

 167[.]114[.]31[.]93/gdo1.txt 

*参考来源:zscaler,FB小编Alpha_h4ck编译,转载请注明来自FreeBuf.COM

发表评论

已有 2 条评论

取消
Loading...

特别推荐

推荐关注

活动预告

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php