Gh0st远控木马分析与防护指南

一、样本基本信息

1.1 样本标识

• 文件名: test.exe
• MD5: 21a08a30b02b395c375616936e756a1d
• 解密后DLL文件: dump.bin
• DLL MD5: 21bea12a54bc431003ebc3e7b5b7d75a

1.2 伪装特征

• 使用视频播放器图标进行伪装
• 初始样本使用UPX加壳

二、技术分析

2.1 加载器分析(test_dump.exe)

2.1.1 初始行为

1. 访问注册表路径: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC
2. 使用花指令干扰分析:

   call    _CxxThrowException
   mov     eax, next_eip_value
   ret
   

2.1.2 去花指令方法

提供IDC脚本示例:

#include <idc.idc>
static main()
{
    auto head, op, code,i;
    head = NextHead(0x00000000, 0xFFFFFFFF);
    while ( head != BADADDR )
    {
        op = GetMnem(head);
        code = GetOpnd(head,0);
        if(code == "_CxxThrowException")
        {
            for(i = 0; i<5;i++) { PatchByte(head+i, 0x90); }
        }
        if(code == "eax" && op == "mov")
        {
            auto asmCode = GetDisasm(head + 0x5);
            if(asmCode == "retn")
            {
                for(i = 0; i<6;i++) { PatchByte(head+i, 0x90); }
            }
        }
        head = NextHead(head, 0xFFFFFFFF);
    }
}

2.1.3 核心功能

1. 解密内嵌PE数据(dump.bin)
2. 内存加载解密后的DLL
3. 调用DLL导出函数Shellex

2.2 恶意DLL分析(dump.bin)

2.2.1 初始行为

1. 创建互斥体: Global\[module_path]
2. 获取系统时间并写入注册表
3. 解密关键字符串:
   • C2地址: "tLPQtLS60L230LW1vaY=" → 23.224.97.119
   • 版本号: "tdC2pg==" → 1.0
   • 其他加密字符串

2.2.2 持久化机制

1. 注册表启动
2. 服务启动:
   • 检测服务是否存在及运行状态
   • 创建服务并复制到: %ALLUSERSPROFILE%\Application Data\Storm\update\
   • 服务名: "PhxphFVX64.exe"
3. 多种启动方式:
   • 命令行参数检测(如"-acsi")
   • 开始菜单启动
   • 文件绿色启动

2.2.3 反检测机制

• 检测常见杀软进程

2.2.4 C2通信

• 解密C2地址: 23.224.97.119
• 建立连接并等待指令

2.2.5 功能指令集

三、溯源分析

• 互斥体命名方式
• 数据解密算法
• 行为逻辑与Gh0st远控高度相似

四、防护建议

4.1 检测方法

1. 静态检测:

   • 检查UPX加壳特征
   • 查找互斥体Global\[module_path]
   • 检测注册表路径HKEY_LOCAL_MACHINE\SOFTWARE\ODBC

2. 动态检测:

   • 监控%ALLUSERSPROFILE%\Application Data\Storm\update\目录创建
   • 检测服务创建行为
   • 监控与23.224.97.119的通信

4.2 防护措施

1. 禁用不必要的服务
2. 限制注册表访问权限
3. 监控异常网络连接
4. 定期检查启动项和服务

4.3 清除方法

1. 终止相关进程
2. 删除以下文件:
   • %ALLUSERSPROFILE%\Application Data\Storm\update\PhxphFVX64.exe
3. 清理注册表相关项
4. 删除创建的服务

五、总结

该样本是Gh0st远控变种，具有多种持久化方式和丰富控制功能。通过伪装、加密和多种启动方式增强隐蔽性，用户应避免下载不明文件，保持安全软件更新。