欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

ATBroker.exe:一个被病毒利用的微软进程

来源:本站整理 作者:ozczzzz 时间:2018-05-15 TAG: 我要投稿

一 前言
一般情况下,病毒会利用添加启动项、计划任务、服务的方式来实现开机启动,达到留存和活跃的目的。然而,利用atbroker.exe系统进程,实现病毒开机启动的方式并不常见。虽然该手法在2016年7月已经有被曝光,但是被发现的在野攻击却不多。不久前,某网友机子上的某杀毒软件不停的提示有挖矿(zec币)程序在运行,删除恶意程序后,下次开机还是会不停的出现。在一番苦心挖掘下,终于摸清了病毒的自启、躲避杀软的攻击手法。
本次抓到的样本,通过利用atbroker.exe自启病毒母体,然后通过rundll32加载恶意模块,最后实现文件的md5修改、释放和执行挖矿程序。
二 技术背景
2.1 atbroker.exe背景介绍
atbroker.exe(C:\Windows\System32目录下),源于微软的“轻松访问中心”。”轻松访问中心”的一项功能是帮助用户启动辅助功能应用程序,常用的包括讲述人,屏幕键盘和放大镜。同时,这意味着第三方程序也可以通过注册“轻松访问中心”的方式来启动。这一机制使得病毒可以通过写注册表的方式,利用atbroker.exe启动恶意程序。
atbroker.exe的文件信息如下:

2.2  atbroker.exe 攻击手段
早在2016年7月22就曝光了利用atbroker.exe运行恶意程序的方法,但是网上对利用该手法进行恶意攻击的文章不多。详情请戳:
http://www.hexacorn.com/blog/2016/07/22/beyond-good-ol-run-key-part-42/
https://msdn.microsoft.com/library/windows/desktop/mt826492
亲测,触发atbroker.exe启动,有以下几个场景
(1)锁屏或者登录时
(2)开机启动时
(3)运行atbroker.exe时
(4)按下Ctrl+Alt+Del时
(5)触发UAC时
下面用一个小视频演示Win10 下UAC触发atbroker.exe启动恶意程序(以notepad.exe为例)的场景,感兴趣的可自行测试
三 zec币挖矿攻击
3.1 攻击流程
从病毒母体的自启动,到最终的挖矿程序执行,中间用了多层手法,用此方法有主要两个目的:
(1)隐藏母体,让病毒长期驻存和活跃;
(2)不断改变MD5逃避杀软查杀。
这里用红色字体标注恶意文件,用蓝色字体标注系统进程,流程如图所示

3.2 自启动
样机上的atbroker.exe利用的注册表信息:
注册表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs下创建了一个Zlocal39的项,其中StartExe的值指向病毒母体,StartParams的内容是运行参数 woshiyizhixiaomaolv(我是一只小毛驴?)

注册表HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\Session1下的Configuration的值为Zlocal39

通过processmon 的开机监控发现,系统登录时会启动atbroker.exe,然后atbroker.exe接着执行恶意程序Zloc.exejPnAtDoPy.exe,参数 woshiyizhixiaomaolv

3.3 样本分析
IDA 打开Zloc.exejPnAtDoPy.exe(MD5:27d6209b6e10183a126906a714390577),pdb路径暴露了作者的QQ号。是故意留名?还是无意之举。

Zloc.exejPnAtDoPy.exe主要是在temp目录下释放文件名随机,后缀名为lbll的模块并加载


释放并加载ibll文件后,接着起rundll32加载idTemp.data,函数入口CgvSEcXgGkbWwkFa。(这里的vCTemp.data(MD5:27d6209b6e10183a126906a714390577) 其实就是Zloc.exejPnAtDoPy.exe)


IDA打开idTemp.data(MD5:201136f459c3982bc75d440f8afe40c4),该模块主要是创建线程和释放挖矿文件到C:\ProgramData\GTOrigin 目录下,并解压挖矿文件到%appdata%/Wtrl目录下

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载