黑产组织钓鱼攻击样本分析教学文档

1. 攻击概述

本次分析的是一个黑产组织使用"银狐"工具的最新钓鱼攻击样本，具有以下特点：

• 伪装成公司税务发票信息进行钓鱼
• 全平台免杀能力
• 采用多阶段加载技术
• 使用TMD加壳保护
• 最终植入远程控制恶意软件

2. 攻击流程分析

2.1 初始感染阶段

1. 钓鱼诱饵：攻击者发送伪装成公司税务发票信息的文件
2. 下载方式：诱导受害者点击下载按钮，从黑客服务器下载恶意软件
3. 样本信息：
   • 编译时间：2024年4月1日
   • 保护方式：TMD加壳技术

2.2 样本执行流程

1. 动态调试分析：

   • 到达OEP(原始入口点)位置
   • 获取网络接口相关函数地址

2. 远程资源下载：

   • 从hxxp://8.134.179.84/tx1下载加密数据到内存
   • 在内存中解密数据并执行shellcode

3. shellcode功能：

   • 加载执行恶意payload模块
   • 模块导出特定函数实现进一步恶意行为

2.3 持久化与扩散

1. 恶意程序下载：

   • 从网络下载对应恶意程序到指定目录
   • 根据主机系统安装的软件生成不同变体

2. 持久化机制：

   • 创建自启动项快捷方式
   • 设置自启动注册表项

3. 进程注入：

   • 使用RunFile白程序加载恶意模块
   • 打开explorer.exe进程并注入恶意代码
   • 远程执行注入的恶意代码

3. 技术细节分析

3.1 加壳与反调试

• TMD加壳：Themida商业加壳工具，提供高强度保护
• 动态解密：核心功能在内存中解密执行，避免静态分析

3.2 网络通信

• C2服务器：
  • IP地址：8.134.179.84
  • 域名：6010.anonymousrat8.com
• 通信协议：使用加密数据传输

3.3 恶意模块功能

1. 导出函数分析：

   • 核心功能通过导出函数实现
   • 包括下载、注入、持久化等功能

2. 配置信息格式：

   • 模块中包含远程服务器配置
   • 采用特定格式存储C2信息

3.4 注入技术

1. 进程选择：针对explorer.exe进行注入
2. 注入方法：
   • 打开目标进程
   • 写入恶意代码
   • 远程线程执行

4. 防御建议

4.1 检测方法

1. 行为检测：

   • 监控异常进程注入行为(特别是explorer.exe)
   • 检测可疑的网络连接(匿名rat域名)
   • 监控自启动项和注册表修改

2. 特征检测：

   • 已知C2服务器IP和域名
   • TMD加壳特征
   • 特定字符串和API调用序列

4.2 防护措施

1. 终端防护：

   • 启用行为防护功能
   • 限制未知程序权限
   • 监控加壳程序行为

2. 网络防护：

   • 拦截已知恶意域名和IP
   • 监控异常外联流量

3. 用户教育：

   • 警惕税务发票等钓鱼诱饵
   • 验证文件来源真实性

5. 威胁情报

• 关联团伙：使用"银狐"黑客工具的黑产团伙
• 活动趋势：持续活跃，不断更新攻击样本
• 免杀技术：采用多种免杀方式逃避检测，对抗手法持续升级

6. 分析工具与方法

1. 静态分析：

   • PE文件结构分析
   • 字符串和资源提取
   • 加壳识别

2. 动态分析：

   • 调试器跟踪(OEP定位)
   • API调用监控
   • 内存dump分析

3. 网络分析：

   • 流量捕获
   • C2通信解析

7. 总结

该样本展示了现代恶意软件的典型特征：

1. 多阶段加载架构
2. 内存驻留技术
3. 进程注入实现持久化
4. 使用商业加壳保护
5. 动态配置和更新机制

防御此类攻击需要结合行为检测、网络监控和终端防护的综合方案，同时保持威胁情报的及时更新。