Mục lục bài viết || Contents of the article

    Bài viết của chuyên gia an ninh mạng Securitybox đã hướng dẫn phân tích, phát hiện và gỡ bỏ mã độc Practical Malware Analysis Lab13-01 đã nhận được rất nhiều phản hồi tích cực từ phía độc giả điều đó đã tạo động lực rất lớn cho các chuyên gia SecurityBox tiếp tục nghiên cứu. Bài viết sau đây sẽ hướng dẫn các bạn Phân tích, phát hiện và gỡ bỏ mã độc Practical Malware Analysis Lab13-02.

    Phân tích mã độc Lab13-02 trong cuốn sách Practical Malware Analysis

    Practical Malware Analysis: https://nostarch.com/malware

    Mẫu mã độc của Lab13-02 có thể tải về từ: https://github.com/mikesiko/PracticalMalwareAnalysis-Labs

    Phân tích

    Khi thực thi, Lab13-02.exe thực hiện các hành vi:

    • Chụp ảnh màn hình người dùng và lưu vào một buffer

    lab 1321

    • Truyền buffer qua một hàm mã hóa gồm nhiều phép XOR

    lab1322

    • Buffer sau khi mã hóa được ghi vào một file trong cùng working directory của file thực thi mã độc, với tên file có cấu trúc [temphhhhhhhh] với hhhhhhhh là một giá trị hexa 8 chữ số lấy từ kết quả hàm WinAPI GetTickCount, ví dụ temp0015f769
    • Lặp lại chuỗi thao tác trên sau mỗi 10s (Sleep 5s – thực hiện chuỗi thao tác – Sleep 5s). Các file được tạo có kích thước 6,939KB (Màn hình máy tính dùng để phân tích trong trường hợp này có độ phân giải là 1916×927. Đối với các ảnh BMP có cùng độ phân giải (cùng số điểm ảnh), kích thước file là như nhau. Kích thước các file temp mà Lab13-02.exe tạo ra sẽ khác nhau trên các máy tính sử dụng màn hình với độ phân giải khác nhau. Do đó, tránh nhầm lẫn dẫn đến việc coi kích thước các file temp là dấu hiệu chung của mã độc Lab13-02)

    lab1323

    • Mã độc không có hoạt động kết nối mạng hay cài đặt persistence
    • Hàm mã hóa được sử dụng là một hàm mã hóa tùy biến

    * Kiểm tra buffer trước khi được đưa vào hàm mã hóa:

    • Buffer được đưa vào hàm mã hóa tại dòng code 401880, ta đặt breakpoint trong OllyDbg tại dòng này
    • Khi OllyDbg thực thi mã độc tới breakpoint vừa set, tức là hàm chức năng chụp ảnh màn hình vừa được thực hiện xong, screenshot được lưu trong bộ nhớ với địa chỉ bắt đầu là giá trị của EAX và kích thước vùng nhớ cho nó là giá trị của EDX

    lab1324

    • Ví dụ, EAX đang có giá trị 01A00020, EDX đang có giá trị 006C6846, vùng nhớ của buffer nằm trong khoảng 01A00020-020C6866. Ta click phải vào EAX trong cửa sổ register của OllyDbg, chọn Follow in Dump; chuyển sang cửa sổ memory, chọn khoảng vùng nhớ của buffer và click chuột phải, chọn Backup -> Save data to file.

    lab1325

    • Để ý thấy 2 byte đầu tiên của buffer có giá trị ASCII là “BM”, đây là header của định dạng file Bitmap, ta lưu vùng nhớ vào một file với tên mở rộng là .BMP
    • Thử mở file .BMP vừa lưu, nó chính là một ảnh chụp màn hình vào thời điểm mã độc thực thi tới breakpoint 401880

    Phát hiện

    Lab13-02.exe có thể phát hiện bằng signature

    • 20 byte từ fileoffset 5983, là một đoạn heavy XOR trong hàm mã hóa tùy chỉnh

    lab1326

    • 20 byte từ fileoffset 6272, là đoạn gọi hàm mã hóa buffer và chuẩn bị tên file cho buffer sau khi mã hóa

    lab1327

    Gỡ bỏ

    • Lab13-02.exe chỉ tạo các file temphhhhhhhh trong working directory của nó. Ngoài ra, mã độc không thực hiện hành vi sửa đổi nào khác trên hệ thống nên ta có thể xóa trực tiếp file thực thi của nó
    • Tìm kiếm và xóa bỏ tất cả các file có tên theo định dạng temphhhhhhhh trong working directory của file thực thi mã độc

    lab1328

    XEM THÊM: Tổng hợp chuyên đề phân tích mã độc SecurityBox

    Bài viết đề xuất || Recommended
    Không chỉ website của doanh nghiệp nhỏ mà ngay cả website của nhiều tổ chức, doanh nghiệp lớn tại Việt Nam cũng đã từng bị xâm nhập. Thực trạng này dẫn...
    Kiến thức | 24/03/2021
    Một trong những chìa khóa để kinh doanh online thành công là bảo mật website của doanh nghiệp.  1. Lý do doanh nghiệp kinh doanh online cần đẩy mạnh bảo mật...
    Kiến thức | 24/03/2021
    Bảo mật website hiện đang là yêu cầu cấp thiết với mọi doanh nghiệp. Theo đó, các đơn vị an ninh mạng cũng cho ra đời nhiều dịch vụ bảo mật website đa...