JIT SPRAY АНАЛИЗ TDSS - Xakep Online

Ôðàãìåíò ïðåîáðàçîâàííîãî øåëëêîäà èç Exploit.Script.Generic
Судя по коду, следующий скрипт предназначался для заражения
PHP-страницы, но проявиться в должной степени ему была не судьба –
похоже, что PHP-движок на сервере просто отсутствовал. Расшифровав
криптованные строки с помощью алгоритма base64, я обнаружил
функ ционал – отсылка определенной информации на сервер с помощью
запроса POST, получение ответа, расшифровка и использование.
Следующий экземпляр довольно интересен из–за его обращения
к сети Twitter. В результате его дешифровки происходит загрузка
JSON-файла из социальной сети с помощью следующего кода:
Ôðàãìåíò çàãðóæåííîãî Exploit.JS.Pdfka.bwb, ñîäåðæàùèé èñïîëíÿåìûé
JavaScript-êîä
На этом рассмотрение всех скриптов можно закончить. Действие
каждого из них ты можешь увидеть на соответствующей схеме.
Фактически, только четыре из них оказались полностью рабочими,
при этом три скрипта выполняли загрузку одного и того же файла.
Красной рамкой отмечены вредоносные объекты, полученные в
результате исполнения главной странички сайта.
Полученный файл содержит наиболее обсуждаемые темы за последний
день и код, вызывающий функцию, стоящую в запросе после
«callback=». К сожалению, в рассматриваемом скрипте отсутствует
функция callback, поэтому дальнейшее поведение проследить не
получилось.
Ôðàãìåíò ôàéëà daily.json, ïîëó÷åííîãî ñ twitter.com
Последние три зловреда объединены конечным функционалом –
все они переходят по разным ссылкам, но в ответ приходит пакет
«302 Moved Temporarily», содержащий в поле location ссылку на
другую страницу с вредоносным скриптом – 121.101.***.203. Отлично,
скачаем и проанализируем этот файлик. Оказывается, его код
производит попытку скачать вредоносный PE-файл, детектируемый
как Packed.Win32.Krap.x. Делается это многими способами,
которые слегка модифицируются для каждой версии Windows, но
ожидаемый результат всегда одинаковый. Среди этих способов
присутствует запуск PDF-файла, эксплуатирующего уязвимость в
Adobe Reader, использование зловредного Java-апплета, загрузка с
использованием MS06-014.
Ñõåìà ðàáîòû âñåõ âðåäîíîñíûõ ñêðèïòîâ, ðàñïîëîæåííûõ íà ãëàâíîé
ñòðàíèöå
Пришло время проанализировать зловред Packed.Win32.Krap.x,
который, в конечном итоге, скачивает и запускает TDSS. Файл
подробно исследовался с помощью дизассемблера и отладчика
IDA. После первичного осмотра при помощи Hiew были обнаружены
большие зашифрованные области и небольшой участок кода. Однако
этот участок не такой простой – в нем используется антиэмуляция
на основе FakeApi и работы с исключениями, что также усложняет
отладку. Обфускация в файле не применялась. Зашифрованные
участки расшифровываются с помощью инструкций ROL и SHR.
Ôðàãìåíò êîäà Trojan-Downloader.JS.Timul, ñîäåðæàùèé ïðîâåðêó
âåðñèè Windows
Остановимся поподробнее на PDF’ке, а затем перейдем к рассмотрению
Krap.x. Если открыть файл с помощью какого-либо просмотрщика,
например, Hiew, то вложенный вредоносный JavaScriptкомпонент
будет отлично виден. Когда пользователь открывает
уязвимый Adobe Reader, происходит эксплуатация уязвимости и
вызывается вышеупомянутый скрипт. Результатом его деятельности
является исполнение машинного кода, который скачивает
и запускает Krap.x. Сам шеллкод зашифрован довольно просто – с
помощью инструкции XOR с ключом 0x99.
Ôðàãìåíòû äèçàññåìáëèðîâàííîãî êîäà Packed.Win32.Krap.x, ðåàëèçóþùåãî
àíòèýìóëÿöèþ
XÀÊÅÐ 09 /140/ 10 083