Virut僵尸网络分析.PDFVIP

V irut 僵尸网络分析 By nEINEI/2011.10 一 VIRUT 概述 二 VIRUT 核心组成部分 三 VIRUT 文件感染 四 VIRUT 网络行为分析 五 衍生文件的讨论 六 目前一些结论 一 virut 概述 V irut 病毒最早出现在2006 年，目前最活跃的是virut.ce 变种。经过多个版本的发展已 经成为windows 系统下很复杂的感染性病毒。因为virut 包含多态引擎的感染方式，所以比 起 zeus，spyeye 等僵尸网络，virut 更难于清除。 同时近期的virut 变种也改进的连接病毒 服务器的方式，防止这些域名被安全公司加入黑名单列表，在virut 的下载模块中，加入了 “远程插件”的功能，这样，即使在一天之内病毒也可能会有多种行为上的变化。 二 virut 核心组成部分 从病毒的 payloads 层面上看，virut 分为3 部分 1）感染可执行文件 2 ） 感染系统进 程 3 ） 连接病毒服务器下载新的模块。 从客户端感染情况来看，virut 的网络行为部分又存在固定的组成部分，一般都会下载 这几个固定的进程文件。1）多实例的f1ku.exe 进程，寻找远端的病毒服务器。2 ）i6g8xx.exe 负责连接中国地区的病毒服务器。3 ）VRT_.TMP 进程代码注入到多个svchost 进程实例当中， 开启病毒服务端连接。 下载的可变部分包括，1） 端口扫描部分 2 ） 病毒的进程保护 3 ） 执行模块（“远程 插件“）4 ）更新服务端列表。这些进程每隔一段时间就会有一些变化，但大致上功能相似。 （一） 对于固定部分的进程 F1ku.exe ，i6g8xs.exe ，VRT_.TMP ,每一个程序即便单独运行，也 都会达到和virut 母体感染一样的效果，它同样会下载回来virut 的其他组成部分,构成完整的 感染整体。 三 virut 文件感染 对本地文件的感染，virut 大体上有两种策略：1 简单结构的PE 文件，asm 编写或小于 2 个节区。2 高级语言的编译器生成的多2 个节区的PE 文件。 第1 中情况的OEP 感染， 第2 种情况的OEP 感染，修改了宿主程序的API 调用代码。 宿主文件的正常结构 一个被感染的文件，执行流程如下。 关于virut 解密方面的详细讨论可参考kaspersky 的 《Review of the virus.win32.virut.ce Malware Sample》。 我们观察到的一些情况， 1 在virut 改进的版本中，解密方式上变化不大，使用自下向上的方式解密自身代码。 2 在获得kernel32 的基址及其他的大量循环代码中，加入anti-vm 的方式，virut 插入 一条无效的loop 指令，同时设置ecx 为一个很大值 （例如0xffff ），使得反病毒虚拟 机的执行步数超过通常设定的最大执行步数，从而可能导致提前退出仿真检测。 3 V irut 的解密器在隐藏代码方面是存在弱点的，病毒作者并没有隐藏好解密后跳转的 代码，我们可以在解密代码的最下方直接发现这句没有被混淆的跳转指令。 4 从下面的一个代码片段中我们可以了解virut 的主要代码混淆方手段。 • 00408A25 6BC0 0F imul eax,eax,0F 【junk code 】 • 00408A28 50 push eax 【junk code 】 • 00408A29 0FB647 FB movzx eax,byte ptr ds:[edi-5] 【junk code 】 • 00408A2 DF7D8 neg eax 【junk code 】 • 00408A2F