本文翻译自:
https://malfind.com/index.php/2018/07/23/deobfuscating-emotets-powershell-payload/

原标题:Deobfuscating Emotet’s powershell payload


Emotet是2014年发现的一个银行木马,之后研究人员发现了大量的emotet垃圾邮件活动,使用多种钓鱼方法诱使用户下载和加载恶意payload,主要使用武器化的word文档。

Emotet感染链

用户在收到假的email时,点击Email中的链接后,就会下载武器化的doc文档。然后恶意文档会诱使用户启用内容和宏来加载嵌入的VBA代码。但是VBA代码是混淆过的,二球最后会加载一个power shell命令。下面讲述使用沙箱和powershell审计技术在不解混淆的情况下获取VBA代码加载的powershell命令。

Emotet文档示例

混淆方法

Powershell代码本身也是经过混淆的,在虚拟环境下加载的问题就是我们可能看不到任何网络IoC。最好的办法就是将代码解混淆,这样才能更好地理解它。

混淆是一种使恶意代码不便于阅读的方法,有两个作用:

  • 一是欺骗反病毒软件的签名;
  • 二是使对恶意代码的分析更耗时间也更困难。

下面介绍2017年12月起Emotet恶意软件使用的三种混淆方法:

1.字符串替换方法

字符串替换方法使用多个powershell的replace功能来交换无用的字符串和一些关键字,最终产生有效的power shell代码。


例1 用代码替换方法混淆的代码

可以通过替换字符串的方式在文本编辑器中解混淆混淆后的代码,用正则表达式可以加速这一过程。最后可以通过python脚本中的正则表达式自动完成解混淆。

在python中实施解混淆时应注意:

  • 字符串连接。代码中的+会使正则表达式出错,因为需要提前处理。
  • 字符类型映射。有时候为了增强混淆的效果,字符串可能不是直接用power shell中的代码类型替换,而是用int转化为char。因此也需要提取处理。
  • 替换代码的一部分会生成新的替换。这是因为无用字符串可能是在替换器的中间,因此,最好把正则表达式加入循环中,如果还可以替换就一直替换。

反混淆例1中代码的结果

2.字符串压缩

字符串压缩方法也很简单,使用power shell内置的DeflateStream类来解压缩和执行压缩流。

例2 解压缩字符串混淆方法

最简单的解混淆方法是用power shell简单的解压缩字符串。

需要注意的是要手动移除前两个括号中的命令,因为这是混淆的Invoke-Expression cmdlet(接受任何字符串输入并将它视为PowerShell代码)。在处理恶意代码时,最好使用安全的虚拟环境。

powershell中使用的解压缩反混淆方法

查看MSDN文档,可以看到RFC 1951 Deflate数据格式说明中的DeflateStream类,所以可以用zlib库完成解压缩。Zlib的解压缩方法默认需要准确的zlib文件头,而DeflateStream是不需要的,因为这就变成了一个流而不是文件。为了让zlib解压缩流,可以在文件中加一个header或者简单的传递一个zlib.MAX_WBITS参数给解压缩函数。zlib.MAX_WBITS参数如果是负值就表示解压缩函数应该跳过header位。

3.ASCII代码数组

计算机用0101数字串来表示字符串,但对人类而言,字符串更易读,所以数字串要通过程序转变成字符串。如果混淆的目的是使代码更难读取,那么为什么还要隐藏恶意代码的真实目的呢?因此,就有了ASCII码数组混淆方法。


例3 ASCII码数组混淆方法

在图5的例子中,我们可以看到一些含有数字的长字符串。如果熟悉ASCII码,可能就可以马上认出来。如果不熟悉的话,可以通过映射表将数字转化为int然后在转化为char。例子中的方法使用了切割函数,通过给定的分割器将字符串分割开来进行下一步的混淆。

为了在python中解混淆代码,可以使用一个简单的split方法,然后用chr()函数将字符与数字进行映射。

用split方法在python中解混淆出的ASCII码数组

真实代码

在解混淆出源代码后,可以看出是一个简单的释放器,用WebClient类来连接硬编码的域名,在%TEMP%目录下载二进制文件,然后加载。代码中使用breaktry-catch语句来确保脚本在下载完成前能够连接到域名。

Invoke-Expression

许多混淆的power shell脚本都用Invoke-Expression cmdlet来把混淆后的字符串当作代码运行。在Windows console中运行power shell恶意代码是有必要的,因为如果没有invoke-expression cmdlet混淆后的恶意代码就不能运行。

因此,找出伪装的Invoke-Expression cmdlet就非常重要。首先,power shell允许为长命令使用缩写。所以Invoke-Expression的内置缩写就是iex,但power shell还允许将字符串连接并用作cmdlets,而且字符串可以保存为变量。

这就是问题所在,我们可以用DeflateString压缩的例子来说明。脚本开始的一行代码是:
$vERBOsepreFErEncE.tOStRIng()[1,3]+'X'-JoIn''

这行代码将power shell内置变量$verbosepreference的值转化为字符串,然后在第2和第4个字符后面连接了X,之后再用join将所有的字符连接成一个字符串。

那么变量$verbosepreference的默认值是什么呢?SilentlyContinue,第2个第4个字符分别是i和e。当连接一个x后就变成了iex,也就是Invoke-Expression cmdlet的缩写。事实上,这类技巧在power shell中应用还是很普遍的,尤其是在恶意软件开发者中。


Invoke-Expression混淆示例


作者给出了Emotet反混淆源码,下载地址:https://github.com/lasq88/deobfuscate/

点击收藏 | 0 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖