गुंटियोर विश्लेषण

सभी को शुभ संध्या! इस नोट में, हम मालवरी के विश्लेषण (रिवर्स) पर ध्यान केंद्रित करेंगे। कोई सटीक नाम नहीं है, लेकिन एवी पोर्टल्स पर इसे गुंटियोर के रूप में जाना जाता है। अधिक विशेष रूप से (kernelmode.info) Guntior bootkit (चीनी गठबंधन)। चित्रों के ढेर के नीचे, सावधान रहें! पीड़ित की मशीन पर एक पुलहेड तैनात करने के लिए यह माल्वार एक पूरा परिसर है। किट में बूटकिट (Stoned Bootkit से चुराया गया), फ़ाइलें डाउनलोड करने के लिए लोडर और बहुत कुछ शामिल हैं। मैं निम्नलिखित फ़ाइल का विश्लेषण करूंगा (विरोस्तुताल की रिपोर्ट)

फ़ाइल निर्यात कार्यों के एक समूह के साथ एक गतिशील पुस्तकालय है। लेकिन वास्तव में, ये सिर्फ डमी फ़ंक्शंस हैं जो एक परिणाम देते हैं। कोई पेलोड ले जा रहा है


डमी कार्य:


हम पुस्तकालय प्रवेश बिंदु से अपने दौरे की शुरुआत करते हैं। हम फ़ाइल को आईडीए में लोड करते हैं और फ़ाइल के पचने तक प्रतीक्षा करते हैं। नीचे दिया गया स्क्रीनशॉट प्रविष्टि बिंदु दिखाता है जहां कॉल के प्रकार की जांच के बाद नियंत्रण स्थानांतरित किया जाएगा (अनाड़ी रूप से कहा गया है, लेकिन अधिक सटीक रूप से नहीं कह सकता। FdwReason == 1 की जाँच की गई है)


ConnectToPipe () प्रक्रिया से पहले की सभी तरकीबें हमारे लिए कोई दिलचस्पी नहीं हैं। ये किसी भी लोडर बॉट के सामान्य प्रस्ताव हैं (ओएस संस्करण की जांच की जाती है, नाम प्राप्त किए जाते हैं)। ConnectToPipe () प्रक्रिया पर डबल-क्लिक करें ।


नामित पाइप का उपयोग करके, जानकारी भेजी जाती है। अंतर-कार्यक्रम संचार के लिए एक बहुत ही उपयोगी चाल। Esc दबाकर छद्म कोड से बाहर निकलें, और आगे देखें। स्टार्ट एड्रेस ConnectToPipe_2 के साथ एक स्ट्रीम बनाना। यह पता पाइप से जोड़ता और लिखता है। हम एक कदम पीछे जाते हैं और पता उप_100007E0 के साथ अगली स्ट्रीम के निर्माण का विश्लेषण करते हैं। यहीं से सारी मस्ती शुरू होती है।


UnpackStartDriver () प्रक्रिया पर विचार करें। GetRand () पर कॉल करने से सेवा के नाम के लिए यादृच्छिक वर्ण मिलते हैं । इसके अंदर, GetSystemTimeAsFileTime के साथ मिलकर रैंड / सरैंड कुकीज़ की एक अनुकूल जोड़ी



OpenSCManager / CreateService फ़ंक्शन एक यादृच्छिक नाम के साथ एक सेवा बनाते हैं (याद रखें कि नाम कैसे आया?)। अगला, UnpackResource () फ़ंक्शन पर जाएं


हम प्रक्रिया से बाहर निकलते हैं, अगली पंक्ति का विश्लेषण करते हैं। StartServiceA बनाई गई सेवा शुरू करता है। आरामदायक ड्राइवर लॉन्च के लिए इन सभी ट्रिक्स की जरूरत होती है। हालांकि यह ZwLoadDriver और NtSetInformationProcess के साथ कॉल करना संभव होगा। हम पूरी तरह से sub_100007E0 प्रक्रिया पर वापस जाते हैं। प्रक्रिया का विश्लेषण GetKERNEL_Adresses


नाभिकीय एप के छद्म पते प्राप्त किए जाते हैं और DeviceIoControl ड्राइवर को भेजे जाते हैं। इसके बाद, Search_Kill_AV के पते के साथ एक और स्ट्रीम बनाई जाती है । यह शायद स्पष्ट है कि वह क्या कर रही है। आप यहां पूरी होने वाली प्रक्रियाओं की पूरी सूची देख सकते हैं। पूरा करना बहुत दिलचस्प है: प्रक्रिया आईडी प्राप्त की जाती है और ड्राइवर को भेज दी जाती है, जहां प्रक्रिया समाप्त होती है। हम वापस जाते हैं, प्रवाह शुरू होता है, जिसके अंदर चालक को दिए गए मापदंडों की जांच की जाती है। वापस जाएं, हमारा अंतिम हीरो sub_10001424 है ।



और इसलिए, सबसे पहले, CheckInet फ़ंक्शन को कॉल किया जाता है , जिसके अंदर कॉल InternetOpenA / InternetOpenUrlA / HttpQueryInfoA / InternetCloseHandle लोडर के साथ मांस की चक्की bm.com पर नेटवर्क की उपलब्धता की जांच करता है।



यह अजीब है कि मालवरी में वे खुले कॉल एप का उपयोग करते हैं। आमतौर पर, सब कुछ हैश के माध्यम से होता है, अन्य चिप्स, जिसे रिवर्सल के लिए कठिनाई पैदा करने के लिए डिज़ाइन किया गया है। और इसलिए, वापस जाओ। DownloadConfig () नामक प्रक्रिया



कॉन्फ़िगरेशन फ़ाइल भरी हुई है, जिसमें कार्य (लिंक, नाम) हैं। हालाँकि, यह कॉन्‍फ़िगर एन्क्रिप्टेड है) डिक्रिप्‍टीकॉन्फिग () कॉल करके डिक्रिप्‍शन किया जाता है। और अब, हम काले जादू कला श्रृंखला से कुछ चिप्स बनाएंगे। इस कॉन्फ़िगरेशन फ़ाइल को डाउनलोड करें, डिक्रिप्शन प्रक्रिया की प्रतिलिपि बनाएँ, इसे masm32 पैकेज का उपयोग करके संकलित करें। निष्पादन के लिए दौड़ें। देखा! हमारे पास एक साफ, डिक्रिप्टेड कॉन्फ़िगरेशन फ़ाइल है। स्क्रीन । विन्यास इस तरह दिखता है:

[जानकारी]
isdown = 1
हुइफांग = १०
जंजीर = २०
url1 = _ download_file_address
pid1 =
biaoshi1 =

इसके बाद, GetPStreetProfileIntA का उपयोग करके, आवश्यक मापदंडों का चयन किया जाता है। डाउनलोड की गई फ़ाइल पीड़ित की मशीन पर लॉन्च की गई है।
यद्यपि यह और भी आसान हो सकता है: डिबगर में, इस कार्यक्रम के साथ निष्पादन या इससे भी आसान शुरू करें: अजगर में xor डिक्रिप्शन फ़ंक्शन लिखें। हम प्रारंभिक प्रक्रिया पर वापस जाते हैं, और सब_0 ** CF2 पर जाते हैं । यह फाटक के रूप में सूचना भेजता है:
Unionid =% s & mac =% s & iever =% d & alexa =% d & systemver =% d & antisoftware =% s & pluginver =% s , सिस्टम के पहचानकर्ताओं को ले जाने वाला। यह विश्लेषण पूरा करता है। निम्नलिखित नोट के साथ, मालवरी चालक के विश्लेषण पर विचार करें