针对APT28 Zebrocy Delphi加载器后门最新变种的分析（V6.02到V7.00）
一、摘要
APT28，也称为Sofacy、Fancy Bear、STRONTIUM、Pawn Storm和Sednit，在2018年持续针对各国政府和政治实体开展攻击，并且活动非常活跃。在我们深入研究最新的Zebrocy样本之前，我强烈推荐首先阅读ESET的文章《Sednit: What's going on with Zebrocy?》以及Ralo Alto Unit 42的文章《Dear Joohn: The Sofacy Group’s Global Campaign》。
Zebrocy Delphi变种本质上是收集受害者信息的加载器和后门。部分变种会经过UPX加壳，并将它们的配置数据存储在“TForm1”类的“RCData”资源段中。作为一般规则，Delphi中的表单都由TForm类定义。在本文中，我们主要针对恶意软件的6.02和7.0版本进行对比分析。在升级后的版本中，对Timer对象、注册表项以及软件的信息收集方法进行了修改，可以用于扫描主机上的文档、压缩包、图像、数据库和配置文件。此外，还有一个值得注意的修改，TForm1的Icon.Data对象的十六进制表示方式发生了一些变化。
获取资源的Python代码如下：
'''
从二进制资源段提取APT28 Zebrocy TForm1 Delphi代码
@VK_Intel
'''
import pefile
pe = pefile.PE("
代码输出结果如下：
DVCLAL
L30
LIBEAY32
PACKAGEINFO
PLATFORMTARGETS
SSLEAY32
TFORM1
MAINICON
b'TPF0\x06TForm1\x05Form1\x04Left\x02\x00\x03Top\x02\x00\x0cClientHeight\x03\x7f\x01\x0bClientWidth\x03\xc9\x01\x05Color\x07\tclBtnFace\x0cFont.Charset\x07\x0fDEFAULT_CHARSET...
值得注意的是，配置包含所有导入的必要SSL库LIBEAY32、SSLEAY32、DVCLAL、L30配置、包信息（包括Windows API实用程序代码）。最重要的是，其中包含TForm1 Delphi主代码。
TForm1资源时Windows设置和创建对象TLabel、TEdit和TMemo的主要处理器，它们描述了恶意软件的功能。
二、对Zebrocy Delphi恶意软件6.02版本的分析
举例来说，以下是设置Windows并创建主要受害者信息收集、击键记录和网络域解析器模块的代码，该代码来源于6.02版本的Zebrocy（0a6c1db916ac8ddf0ef67196279e12d163e07969d9cc68c0aed6b63d11f76d6c）：
///////////////////////////////////////////////////
////// APT28 Zebrocy恶意软件TForm1类 /////////
///////////////////////////////////////////////////
object Form1: TForm1
Left = 0
Top = 0
ClientHeight = 358
ClientWidth = 509
Color = clBtnFace
Font.Charset = DEFAULT_CHARSET
Font.Color = clWindowText
Font.Height = -11
Font.Name = 'Tahoma'
Font.Style = []
OldCreateOrder = False
PixelsPerInch = 96
TextHeight = 13
object c: TLabel
Left = 428
Top = 232
Width = 38
Height = 13
Caption = 'KEYLOG' // keylogger object
end
object Label2: TLabel
Left = 417
Top = 197
Width = 49
Height = 13
Caption = 'SYS_INFO' // machine system info object
end
object Memo3: TMemo
Left = 0
Top = 179
Width = 445
Height = 179 // network domain collector and parser object
Lines.Strings = (
'@ECHO OFF'
'FOR /F "tokens=1 delims=\ " %%n IN ('#39'net view^|FIND "\\"'#39') DO ('
' FOR /F "tokens=2 delims=[]" %%i IN ('#39'ping -a -n 1 -w 0 %%n^|FI' +
'ND "["'#39') DO ('
' ECHO %%i %%n>>1.txt'
' FOR /F "tokens=1,2,3,4 delims= " %%a IN ('#39'net view \\%%n^|FI' +
'ND " "'#39') DO ('
' IF "%%b"=="Disk" ('
' ECHO %%b: \\%%n\%%a>>1.txt'
' ) ELSE ('
' IF "%%b"=="Print" ECHO %%b: \\%%n\%%a>>1.t' +
'xt'
' )'