谷堕大盗黑产组织最新攻击样本技术分析报告

一、样本概述

谷堕大盗黑产组织最新攻击样本编译时间为2024年3月4日，该样本采用了多阶段加载技术，通过远程服务器获取shellcode并执行，最终加载恶意payload模块。样本中集成了多种高级对抗技术，包括反调试、反虚拟机检测等。

二、技术细节分析

1. 初始加载阶段

1. 网络通信：

   • 发起URL连接请求，从黑客远程服务器(154.12.84.33)获取shellcode代码
   • 使用VirtualAlloc分配内存空间存放远程获取的shellcode
   • 将shellcode拷贝至分配的内存并跳转执行

2. Shellcode功能：

   • 再次调用VirtualAlloc分配内存
   • 将内嵌的恶意模块代码拷贝到新分配的内存中
   • 调用恶意模块的SCTakes_L导出函数

2. 高级对抗技术

样本采用了多种反分析和检测规避技术：

1. 反调试技术：

   • 检查BeingDebugged标志
   • 检查NtGlobalFlag标志
   • 使用ZwQueryInformationProcess等API进行调试器检测

2. 反虚拟机技术：

   • 检测系统环境是否为虚拟机
   • 获取系统硬件信息进行环境指纹识别

3. 环境检测：

   • 获取系统CPU温度
   • 获取系统风扇转速
   • 获取主机硬件信息
   • 获取系统电源状态

3. 持久化与扩展功能

1. 文件操作：

   • 读取模块资源数据，在目标系统生成EXE和DLL恶意文件
   • 从服务器下载exehook2.dll模块数据
   • 将模块数据写入生成的sqm.dat文件

2. 持久化机制：

   • 创建计划任务实现持久化
   • 调用生成的EXE程序维持访问

3. 模块加载：

   • EXE程序调用DLL模块的导出函数
   • 读取sqm.dat文件内容到内存
   • 解密内存中的数据(去除MZ标志的恶意payload模块)
   • 跳转到解密后的恶意模块执行

4. 最终payload

解密后的恶意模块为谷堕大盗黑产组织的上线模块：

• 模块版本信息为2024年2月
• 远程C2服务器IP地址为154.12.84.33

三、攻击流程总结

1. 初始阶段：下载并执行远程shellcode
2. 加载阶段：shellcode加载内嵌恶意模块
3. 环境检测：执行反调试和反虚拟机检查
4. 持久化阶段：生成恶意文件并设置计划任务
5. 最终阶段：加载并执行核心恶意payload

四、防御建议

1. 检测与防护：

   • 监控VirtualAlloc等内存分配API的异常调用
   • 检测计划任务的异常创建行为
   • 拦截对154.12.84.33等已知C2服务器的连接

2. 加固措施：

   • 启用反漏洞利用保护机制(如DEP, ASLR)
   • 限制非特权用户的计划任务创建权限
   • 实施应用程序白名单策略

3. 威胁情报：

   • 将样本哈希和C2地址加入威胁情报库
   • 共享分析结果与安全社区协作防御

五、技术演进观察

该样本展示了黑产组织的技术演进趋势：

1. 采用多阶段加载增加分析难度
2. 集成更全面的环境检测机制
3. 使用文件混淆和内存解密技术
4. 保持模块化设计便于功能更新

安全对抗将持续升级，防御方需不断更新检测能力和防护策略。