返回
木马和远控的区别（远控木马NetWireRAT升级）
木马和远控的区别（远控木马NetWireRAT升级）
2024-06-30 11:45:08  作者:夏語嫣  网址:https://m.xinb2b.cn/know/ivs194822.html

木马和远控的区别（远控木马NetWireRAT升级）(1)

NetWire是一种远程访问木马（RAT，Remote Access Trojan），已经被广泛使用了多年。

最近，FortiGuard实验室发现了一种通过网络钓鱼电子邮件传播的恶意软件。分析表明，它正是NetWire RAT的新变种。

正通过钓鱼邮件传播的NetWire RAT新变种

图1展示的就是网络钓鱼电子邮件中的一个示例，它的底部包含一张带有超链接的图片。一旦点击，就会导致一个恶意文件被下载到计算机上。

木马和远控的区别（远控木马NetWireRAT升级）(2)

图1.包含图片的网络钓鱼电子邮件示例

如你所见，恶意文件的下载链接为“hxxps[:]//www[.]mediafire[.]com/file/d86hz5qj21lmhrb/PROFORMA-INVOICE_0990.7z/file”。

下载的文件是一个.7z压缩文件，NetWire RAT的新变种就包含在其中。

解压缩后，你会得到一个名为“PROFORMA-INVOICE 0990.exe”的可执行文件。

木马和远控的区别（远控木马NetWireRAT升级）(3)

图2.解压缩.7z文件

NetWire RAT新变种的反分析技术

FortiGuard实验室表示，这个新的NetWire RAT变种是采用MS Visual Basic编译的，且使用了多种反分析技术。

1.动态地将恶意代码提取到内存中并执行，这使得静态分析变得非常困难；

2.在安装完成后，并不会运行，直到受害者移动鼠标（通过对比鼠标光标的位置来实现），此技术被指用于反沙箱。

如图3所示，这个NetWire RAT新变种会通过两次调用API USER32.GetCursorPos()来获取鼠标光标的位置，然后对他们进行比较。

如果两次位置是相同的，则表明受害者没有移动鼠标，它则会停止运行，并在休眠一定时间后再次检查，直到位置不同为止。

木马和远控的区别（远控木马NetWireRAT升级）(4)

图3.检查受害者是否移动了鼠标

3.调用API ntdll.ZwGetContextThread来获取当前线程上下文结构，以获取受感染计算机的CPU调试寄存器状态，此技术被指用于反调试。

首先，如果调试器设置了硬件断点，那么CPU寄存器中的Dr0、Dr1、Dr2、Dr3、Dr6和Dr7就不再为“0”。

其次，寄存器EAX是一个API地址，这个NetWire RAT新变种会在运行时检查地址是否是0CC、3CD和0B0F，因为这是软件断点（Int 3）的操作码。

一旦触发上述条件之一，这个NetWire RAT新变种就会跳转到一个随机地址，以终止运行。然后，一个崩溃小窗口将弹出，如图4所示：

木马和远控的区别（远控木马NetWireRAT升级）(5)

图4.触发反调试

4. 与大多数恶意软件一样，这个NetWire RAT新变种会生成自身的挂起子进程，然后修改其内存和线程上下文数据，如OEP值。

当一切准备就绪后，父进程将恢复子进程并退出。如此一来，这个NetWire RAT新变种的真实代码就将覆盖子进程中的现有代码，然后在子进程中执行，这会使得对它的分析变得异常困难。

NetWire RAT新变种子进程分析

首先，这个NetWire RAT新变种会通过调用API WSAStartup()来初始化几个全局变量和Windows套接字。紧接着，它会解密一些加密的字符串。

接下来，它会查看当前的可执行文件是否位于正确的文件夹（%AppData%\Install）中以及是否具有正确的文件名（Host.exe）。如果不是，它则会将文件重新放置到“%AppData%\Install”并将其重命名为“Host.exe”。

然后，它将运行重新放置的文件并退出当前进程，并再次执行上述所有过程。

木马和远控的区别（远控木马NetWireRAT升级）(6)

图5.重新放置的文件

为了实现持久性，这个NetWire RAT新变种会创建一个注册表项（HKCU\SOFTWARE\NetWire），以实现随受感染系统的重启而自动运行。

木马和远控的区别（远控木马NetWireRAT升级）(7)

图6.恶意软件将自身添加到系统注册表的“自运行”组中

同时被创建的还有一个日志文件夹，被用于存储从受感染系统收集的信息，位于“%AppData%\Logs”。

此外，还会通过调用这个NetWire RAT新变种_beginthreadex()函数来执行一个线程，以实现按键记录功能（记录受害者的所有键盘动作、时间，以及受害者正在键入的内容）。

木马和远控的区别（远控木马NetWireRAT升级）(8)

图7.键盘记录日志文件

与命令和控制（C2）服务器通信

这个NetWire RAT新变种的C2服务器为“gbam0001.duckdns[.]org:3366”，目前处于关闭状态。

分析显示，一旦建立起了通信，C2服务器就会发来一个编号为“9B”的命令，而这个NetWire RAT新变种则会用一个名为“Task_Fun()”的函数来进行处理（将收集的信息上传到C2服务器）。

木马和远控的区别（远控木马NetWireRAT升级）(9)

图8. 将收集的信息上传到C2服务器

通过对数据包的分析，FortiGuard实验室发现这个NetWire RAT新变种从受感染系统中搜集了以下信息：

通过调用API GetUserNameA()或从系统环境变量收集的当前登录用户名；通过调用API GetComputerNameA()获取受害者的计算机名称；通过调用API GetVersionExA()获取 Windows版本信息；受害者正在使用的软件的名称；受感染计算机的当前时间。NetWire RAT新变种还能干什么？

如上所述，函数Task_Fun()被用于处理来自C2服务器的命令，并为一个命令调用一个子过程。

分析显示，它共有80多个子程序。这也就意味着，除了“9B”命令外，它还可以处理来自C2服务器的80多个命令：

命令编号：097h-获取一个时间值，以了解受害者自上次输入以来处于非活动状态的时间；命令编号：09Ch、09Ch、0A3h、0AFh、0B6h、0C3h-执行下载的可执行文件或现有的本地文件，如“cmd.exe”；命令编号：09Fh、0A0h、0A1h、0A2h、0AEh、0E5h、0E7h-退出NetWire RAT进程；关闭C2服务器的套接字；从系统注册表中的Home键读取值；重置或删除指定的注册表项；删除NetWire RAT可执行文件并重新放置其可执行文件；命令编号：09Fh、0A0h、0A1h、0A2h、0AEh、0AFh、0B0h〜0B5h、0B7h、0DFh、0E8h-收集受感染系统的分区和硬盘驱动器信息；获取指定文件夹中的文件信息；通过指定的文件类型获取文件信息；创建指定的目录和文件，将内容写入指定的文件；删除、重新放置指定文件以及其他与文件相关的操作；命令编号：0D4h、0D5h、0D6h、0D7h、0D8h、0D9h-窃取并收集通过不同软件存储在受感染系统中的凭证，如360Chrom、Opera、Mozilla Firefox、Mozilla SeaMonkey、Google Chrome、Comodo Dragon浏览器、YandexBrowser、Brave-Browser、Mozilla Thunderbird、Microsoft Outlook和Pidgin。此外，它还能从历史记录文件夹中读取受害者的浏览器历史记录。命令编号：0CCh、0CEh、0CFh、0D0h-操作其文件夹中的日志文件（“％AppData％\Log”），包括枚举日志文件、获取指定的日志文件属性、读取和删除指定的日志文件。命令编号：0BEh、0C0h、0C1h、0C2h、0E3h-获取在受感染计算机上创建的窗口句柄；通过指定的Windows句柄向窗口发送Windows消息；获取受感染计算机上所有正在运行的进程的信息；使用给定的进程ID终止正在运行的进程；获取TCP或UDP端点信息（TCP或UDP、本地和远程IP地址、端口、状态）以及连接该端点的进程信息（进程名称、进程ID）的列表。命令编号：0Bah、0BCh-收集受感染计算机的基本信息，包括当前用户名、登录会话信息、计算机名、CPU信息、Windows版本、内存状态、网络状态和Windows安装路径。此外，它还能收集PowerShell的安装路径、NetWire RAT可执行文件的完整路径及其Log文件夹的完整路径等。命令编号：0C5h、0C6h、0C7h、0C8h-控制受害者的输入设备，包括键盘和鼠标；通过发送keybd_event和mouse_event，它还可以模拟键盘和鼠标操作。

在完成上述操作后，这个NetWire RAT新变种会将收集到的所有数据上传到C2服务器。

  • 胶原蛋白怎么补效果最好 食补胶原蛋白能延缓皮肤衰老吗
  • 2024-07-01胶原蛋白怎么补效果最好 食补胶原蛋白能延缓皮肤衰老吗随着年龄增长，岁月的痕迹悄悄地显现：皱纹爬上了人们的脸颊，皮肤开始衰老不少人喜欢吃猪蹄、鸡爪和肉皮，也有人钟情于吃桃胶他们认为，这些食物不仅富含胶质、口感香糯，还能补充人体流失的胶原蛋白，延缓皮肤衰老。
  • 杨子姗和郑恺演过的电视剧（郑恺杨子姗张国立新剧）
  • 2024-07-01郑恺杨子姗张国立新剧《好久不见》你看没？负责任地说，这应该是我今年看过的最让人五味杂陈的一部国产剧了它倒不是单纯的烂不烂的问题，而是充满了一股出土文物般突兀的尴尬味道仿佛一个城乡结合部搞批发的大姐，非要你相信她的货就是今。
  • 吴孟达从20岁到65岁（68岁吴孟达不退休）
  • 2024-07-0168岁吴孟达不退休秦岚的父亲曾经训斥她：“好看的脸蛋能出大米吗？”好看的脸蛋，当然是不能出大米，这个道理人人都知道，然而同样的道理下，为什么有人会觉得“好情怀能卖大价钱”呢？不久前，吴孟达直播带货惨遭滑铁卢，在商家交了。
  • 五句描写春的古诗大全（五首宋诗中的最美春天）
  • 2024-07-01五首宋诗中的最美春天在中国古代文学史上，唐诗宋词有如瑰丽的珠宝，千年以来散发着耀眼夺目的光芒，它们的艺术高度无以比拟但是继唐诗之后，又出现了诗歌的新阶段，并取得了极高的艺术成就，也可以说再次达到一个高峰，这就是宋诗宋诗虽。
  • 糙米饭用电饭锅怎么做（糙米饭用电饭锅的煮法）
  • 2024-07-01糙米饭用电饭锅的煮法淘米的时候轻柔的搅动米粒，连续洗两次，这样才能避免洗去附在糙米表皮的营养物质洗干净的糙米少则浸泡1-2小时，多则浸泡一夜之后再进行烹煮将泡好的米连同浸泡的水一起倒入电饭煲中，注意米和水的比例为1:1.。
  • 无创dna和无创唐氏筛查有什么区别（无创DNA检查是和唐氏筛查）
  • 2024-07-01无创DNA检查是和唐氏筛查无创DNA检查，其实是采用母体的血，然后通过血液检查来看胎儿是不是有一些常见的疾病要是发现宝宝发育有什么问题，也好采取一些处理措施因此，很多怀孕女性都想知道多长时间之后就能做该项项检查下面就来了解一下。
  • 怯的组词（汉字怯的组词）
  • 2024-07-01汉字怯的组词怯缩[qièsuō]畏缩怕事薄怯怯[báoqièqiè]单薄的样子怯言[qièyán]谓不轻易表示意见娇怯怯[jiāoqièqiè]柔弱貌怯耎[qiènuò]胆小；懦弱孤怯[gūqiè]孤单怯懦。
  • 三国志战略版白衣枪和大蜀枪（三国志战略版蜀枪的进化史）
  • 2024-07-01三国志战略版蜀枪的进化史这是一篇《蜀枪百科》，记录了蜀枪的截止12个赛季的所有搭配用法、加点兵书、平替方案、历史演化、涉及蜀国13位武将、30多种战法【说起蜀枪的发家史，那一定要从S1说起】在那个战法稀缺，众神尚未归位的版本。
  • 广东2022年各高校投档线排名（有人欢喜有人忧）
  • 2024-07-01有人欢喜有人忧广外、广工和广东财经大学，令人意外的下滑那么厉害的排位，今年的投档线真是有人欢喜有人忧！！！2022年广东本科投档线的一点浅见[呲牙][呲牙][呲牙]7月19日凌晨，省教育考试院重磅公布广东省本科投档。
  • 东瓯国在现在哪里（知道东瓯王吗身为温州人）
  • 2024-07-01知道东瓯王吗身为温州人温州三十六坊3天前鹿城区历史文化街区古代，以温州地区为中心的一带称“东瓯”，尤其以汉初“东瓯国”最为有名司马迁在《史记·东越列传》中记载，“孝惠三年，立摇为东海王，都东瓯，世俗号为东瓯王”△位于温州市。
  • mts格式什么软件打开（mts文件是个什么文件）
  • 2024-07-01mts文件是个什么文件mts文件是个什么文件？mts文件是一种后缀名为mts的视频文件这种格式的视频专门用于索尼高清DV录制但是不论是使用哪一种设备，如果不小心导致mts文件丢失怎么办呢？有没有办法让这些宝贵的mts视频恢。