Önemli Yeteneklere Sahip Bir Node.js Kötü Amaçlı Yazılımı olan Lu0Bot'un Analizi ve Yapılandırma Çıkarımı - Dünyadan Güncel Teknoloji Haberleri

Ekip, çabalarının bir parçası olarak çok sayıda istihbarat ve IOC’yi ortaya çıkarmanın yanı sıra YARA, Sigma ve Suricata kurallarını da yazmayı başardı

Yardımıyla özel bir senaryosatırların şifresi çözüldü ve alan adlarının bazı kısımlarının örneğe sabit kodlandığı ortaya çıktı

Bu işlev iki değişken kullanılarak çağrıldı:

1

Şu anda düşük düzeyde bir etkinlik sergilemesine rağmen Lu0bot, kampanyasının ölçeklenmesi ve C2 sunucusunun aktif olarak yanıt vermeye başlaması durumunda önemli bir risk oluşturabilir

Ücretsiz denemeyi başlatın Bir sökücü ve hata ayıklayıcı kullanarak Lu0Bot kötü amaçlı yazılımının teknik analizi

Ana JS koduna erişmek için ekip:

• SFX arşivini paketinden çıkardık
• Node

  2 Dizideki bir öğe Bundan sonra, BASE64’ün (T1132

  JS kodunu analiz etme

  Başlangıçta anlaşılmaz olan JavaScript kodu, gereksiz baytların kaldırılması ve bir JavaScript kod çözücünün kullanılmasıyla netleştirildi lknidtnqmg ANY

  Ayrıca kötü amaçlı yazılım, çeşitli parçaları JS kodu içinde tek bir varlıkta birleştirerek etki alanı bağlantısına benzersiz bir yaklaşım sergiledi

  Etki alanı inşaatı

  JavaScript kodunda hata ayıklama

  Hata ayıklamak için ekip, Node

  İşte araştırmalarına genel bir bakış exe –inspect-brk *çöp baytları olmadan obfuscate dökümü*) kullandı, “var” anahtar kelimesine bir kesme noktası yerleştirdi ve her satır tarafından oluşturulan çıktıyı gözlemledi Etki alanına bağlantı sistem yeniden başlatıldıktan sonra da devam etti ve botun çalışır durumda kalması sağlandı js ile çalıştırılabilir JS kodunu birleştiren alışılmadık bir kötü amaçlı yazılımdır RUN etkileşimli sanal alanındaki kötü amaçlı yazılımları analiz etmek için 14 günlük ücretsiz deneme sürümünü kullanın

  2 Yeni IOC’leri ve yapılandırmaları saniyeler içinde toplayın Bu genel bakış için kod analizine odaklanalım

  Analiz, yürütme sonrasında ana sürecin bir EXE dosyasını başlatan bir BAT dosyasını başlattığını ortaya çıkardı

  Noktadan sonra alan adını seçin

  Diğer birkaç işlemden sonra alan tamamen birleştirildi ve gerekli tüm öğeler bir JSON nesnesine paketlendi exe adlı bir Node yorumlayıcısı da dahil olmak üzere birden fazla dosyayı paketledi

  Örnek yürütme sırasındaki süreç ağacı

  Yorumlayıcının başlangıç ​​klasörüne kopyalandığı keşfedildi

  kullanarak kuruluşunuzu bu ve diğer kötü amaçlı yazılımlardan koruyun

  Kötü amaçlı yazılım, yürütüldükten sonra veri iletimi için bir adres aradı RC4 tuşu

  Şu anda kötü amaçlı yazılımın etkinliği düşük olmasına rağmen, saldırganlar muhtemelen saldırmak için doğru anı bekliyor js kötü amaçlı yazılımı Lu0Bot bu eğilimin bir kanıtıdır exe başlatıldı

• JS kod yürütmesinin başladığı noktaya geldim
• Kodu bellekte buldu ve bir dökümü kaydetti

Paketten çıkarma ve boşaltma işlemlerinin nasıl yürütüldüğünü görmek için orijinal makaleye bakın BAT dosyası

Dosyanın ilk satırında belirsiz kalan ve daha sonra başvurulmayan bir yorum yer alıyordu

örnek Araştırma kapsamında, herhangi bir arşiv yardımcı programıyla açılabilen, kendiliğinden açılan bir arşiv olan SFX paketleyicisi kullanıldı Kod, şifrelenmiş JS girişini kabul etti ve WMIC kullanarak, T1047 MITRE tekniğiyle uyumlu işlem yürütme konumu hakkındaki bilgiler de dahil olmak üzere sistem verilerini topladı

Günümüzde, daha fazla sayıda kötü amaçlı yazılım geliştiricisi, gelişmiş algılama sistemlerini atlatmak için alışılmadık programlama dilleri kullanıyor 002) alternatif bir biçimini, ardından URL kodlama-kod çözme ve son olarak RC4’ü kullanarak dizi dizelerinin şifresini çözmek için bir işlev uygulandı RUN etkileşimli kötü amaçlı yazılım Davranışlarını izlemek ve baytların şifresini çözmek veya şifresi çözülmüş halde bunları işlem belleğinde bulmak için sanal alan RUN’da Lu0Bot’un dinamik kötü amaçlı yazılım analizi

Bir sonraki adım, EXE dosyasının ve lknidtnqmg Daha ileri analizler, bu çıktının toplanan sistem verilerinin bir karması olduğunu ortaya çıkardı HERHANGİ BİR ÇALIŞMA şüpheli dosyaları veya bağlantıları hızlı bir şekilde analiz etmek ve saniyeler içinde kesin bir karara varmak için

Modern web uygulamalarında yaygın olan, platformdan bağımsız bir çalışma ortamı ortamını hedef alan ve çok katmanlı gizlemeyi kullanan Lu0Bot, kuruluşlar ve bireyler için ciddi bir tehdittir Yazıdan ulaşabilirsiniz

İlk fonksiyonun (ginf) sistem bilgilerini topladı ve sistem ayrıntılarını içeren 15 öğeli bir dizi üretti dat dosyaları

Dosya bayt bloklarına bölündü ve bunlar daha sonra Düğüm yorumlayıcısını oluşturmak için birleştirildi eqnyiodbs

Bunu takiben kodun alan adının birleştirilmesinden sorumlu bölümü keşfedildi RUN’a dahil edilerek hizmetin herhangi bir Lu0Bot örneğini hızlı bir şekilde tanımlamasına ve dizelerin şifresini çözdükten sonra C2 alanlarını ortaya çıkarmasına olanak sağlandı

Daha sonra yorumlayıcı, baytları ve muhtemelen bayt dosyası için şifreleme anahtarı görevi gören bir sayıyı (%1 ekran görüntüsünde) içeren bir dosya aldı

Daha sonra EXE dosyası, fjlpexyjauf