标签：变量 pow The ffd 其他 cmd参数 ble exe windows
前言：?
| 样本一 | 样本二 |
|---|---|
| 加密混淆（附C++去混淆代码） | 加密混淆 |
?
?宏病毒：最常见的就是微软的office（Word宏），欺骗受害者点击文档（伪装），运行宏代码，从而感染了Word宏病毒，通常宏病毒是作为下载器来传播的。
?个人感觉最好的办法是禁用宏呗，一旦打开Word，有宏运行，那么就会提示禁止了宏无法运行（选项中的安全级别可以设置宏的安全等级）。
?
?宏编程语言（WORD）：VBA 就是嵌入应用程序(WORD)中的VB 语法与vb一样,只是它有特定对象、方法、属性,写出的代码不能脱离word环境。
?
?宏的爱好：：宏病毒为了避免杀毒软件的查杀，通常不会利用敏感API，特别喜欢混淆与加密，也特别喜欢利用powershell来执行命令，有意思的是大多数，如挂马网页，XML，vbs等等，都喜欢利用powershell来进行恶意代码的执行，powershell安全让人汗颜。
?WPS个人版没有宏功能......当初自学的时候确实有点小白，不过后缀.docx并不一定没有宏病毒，好像看过一篇过于APT28。通过嵌入在.docx中的settings.xml.rels组件下载了恶意代码（包含宏组件及vb好像），收集系统信息和运行进程，并使用http，发送到指定的服务器，最后会给大家推荐一些比较好的相关学习的博客与资料。
?
样本一分析：
?到底宏病毒是什么样？其实就是代码，所以双击是看不到宏病毒的，先Word打开看一看，打开后会提示“安全警告”，启用宏的话就运行了宏，首先你要知道如何去看宏代码：Alt + F11就可以弹出，如下图所示：
?????????????????????图片一：宏运行界面
?
你弹出的不是这种界面，而是一个密码框？说明宏被加密了，如下所示：
?????????????????????图片二：加密界面
?
?这时候介绍一款工具VBA Password Bypasser，很实用的一款工具，你只需要把.doc在工具中打开，然后Alt+F11再次查看，就会发现密码自动被破解了，进入了图一的界面当中，这样你就见了所谓的宏代码。
?????????????????????图片三：VBA Password Bypasser
?
?如何静态提取宏的源码呢？不运行文档能不能提取其中的宏代码？当然也可以，有一款开源的Python的插件，叫做oledump.py，链接：https://github.com/decalage2/oledump-contrib
?
?如图一，发现打开后代码是混淆或加密，代码中根本就看不懂，只能看到几个关键字，这样得话给分析这个宏行为（代码行为）就带来一些干扰，但是不论怎样混淆，代码自身必须是能运行的，也就是必须能运行时识别，运行的方式有很多种，如Shell，Application.Run等关键函数，定位关键字，解密数据，如下所示：
补充：
Function XXX()
这种格式表示一个函数
End Function
Sub AutoOpen()
运行文档时候，自动运行宏
End Sub
?????????????????????图片四：入口点
?有点OEP的感觉，不过真的就是从这个地方开始，因为使用AutoOpen()，运行文档时候，调用宏代码，如何下断点与动态调试呢？如下所示：
?????????????????????图片五：动态调试
?
这样必要的时候可以动态调试以精准获取数据，下面就来分析KlsJVlijz函数，如下所示：
?????????????????????图片六：KlsJVlijz
?
?利用关键字定位的手段，快速找到关键代码数据，如Shell关键字，Ctrl+F弹出搜索窗口，如下所示：
?????????????????????图片七：Shell关键字
?
?发现Shell后面的数据都是加密过的数据，把上面很多变量都使用+进行了拼接，这时候就要修改一下vb代码，来获取shell到底做了什么操作，如下所示：
?????????????????????图片八：修改源码
?
?如上述代码所示，这样就可以把指令拼接到变量Contenu中，然后保存到文件里，便于我们分析，或者简单点，动态调试直接监视其中观察Contenu的数据粘贴复制出来也是没问题的。
?打开Data.txt看一看，被定向后的内容到底是什么？稍微排版了一下，如下所示：
?????????????????????图片九：数据
?
?这时候就看到了一些关键字如Cmd /V /c Set等，说明要执行一条与cmd相关的指令，且发现拼接起来的变量十powershell，如下所示：
?????????????????????图片十：powershell
? 请看参数powershell的参数是-e ，加密数据你怎么知道是如何加密呢？字符串最后有符号=，像是Base64的特征，而-e是什么？接收Base64编码字符串命令，既然能接收Base64指令，应该没问题，对不对呢？尝试后就知道了，在上一篇博客Xbash中也对powershell的加密做了分析与介绍，解密后如下：
?????????????????????图片十一：Base64解密后数据
?是不是解密出错了？为什么解密后还是那么多不认识的数据，而且看上去有点中间竟然还有加密，遇到这种情况一定仔细观察分析，不是靠猜就可以，计算机执行数据一定是由依据的，如下所示：
?????????????????????图片十二：数据规则
?
?这样就明白了，计算器在执行的这条指令的时候就是按照规则去分割，取正确的数据执行，也就是把Y&{m:}等乱七八糟的数据去掉，这些混淆的数据去掉之后应该就没问题了，如下所示：
?????????????????????图片十三：还原数据
?
?那么如何编写取混淆的代码呢？压缩包中有别人写的Python写的脚本去混淆代码，10来多行
?个人用的C++写的，第一个版本去混淆代码量与Python差不多，但是规范整理后，写了些注释，而且考虑了很多情况，代码量就上去了，单纯针对去写应该很简单的，C++代码如下：
#include "pch.h"
#include <iostream>
#include <vector>
#include <string>
#include <sstream>
using namespace std;
/*
转换Ascii码
*/
// 保存转换后的数据
vector<char> vNewData;
// 保存获取数字
string nSaveStr;
void FilterNumberOfAscii(const char* str,int & nSize);
int ToAsciiOfchar(int temp);
int main()
{
// 需要转换的数据
char Data[] = { "xxxxxxxxx" };
// 注意不能sizeof求数组大小，会把最后的‘\0‘也当作数据来比对的
int nDataSize = strlen(Data);
FilterNumberOfAscii(Data, nDataSize);
// 遍历输出转换后的数据
for (auto iter = vNewData.begin(); iter != vNewData.end(); ++iter)
{
cout << (*iter);
}
putchar(‘\n‘);
system("pause");
return 0;
}
// Ascii判断及转换
int ToAsciiOfchar(int temp)
{
// 保存转换后的Ascii
char cSaveAscii;
istringstream is(nSaveStr.c_str());
is >> temp;
// 2. 将数字判断是否是ascii码
if (isascii(temp))
{
// 3. 转换成ascii码保存到
cSaveAscii = toascii(temp);
vNewData.push_back(cSaveAscii);
nSaveStr.clear();
return 1;
}
return 0;
}
// 条件过滤
void FilterNumberOfAscii(const char* str, int & nSize)
{
int temp;
nSaveStr.clear();
for (int i = 0; i < nSize; i++)
{
temp = 0;
/*36!78asd99*/
// 1. 连续的数字就有可能是Ascii
if ((‘0‘ <= str[i]) && (‘9‘ >= str[i]))
nSaveStr += str[i];
else
{
if (nSaveStr.size() != 0)
if (!ToAsciiOfchar(temp))
{
// 如果是连续数字且不是Ascii码怎么办？解决思路如下：
// 1、注意顺序是最后一个在最前面，调用reverse 反转
// nSaveStr.reserve();
//
// for (int i = 0; i < nSaveStr.size(); ++i)
// {
// // 2、把数据入栈即可
// vNewData.push_back();
// }
// 因为该样本加密规律 所以上面就用不到了
cout << "发现了连续数字非Ascii码： " << temp << endl;
}
// vNewData.push_back(str[i]);
}
}
// 注意：因为按照strlen长度来for，最后一次容器中内容也要转换
if (nSaveStr.size() != 0)
ToAsciiOfchar(temp);
}
?样本一的分析就到这结束，通过上面的分析应该对宏有一定的认知与解密去混淆的思路，下面一起来看第二个样本。
?
样本二分析：
?样本二文件名是Invoice_receipt（发票收据），因为这些脚本病毒他们不能随便改图标来达到以假乱真，有时候通过文件名来伪装自己，一不小心就上当了，还是老样子，静态提取或者动态调试根据个人而定，如下所示：
?????????????????????图片十四：样本二
?
?看上去要比上一个复杂多了，那么多文件，但是我们还是要关键点分析，不要看函数是多是少，最终会被执行的数据才是真正的恶意代码，所以找关键字，如下所示：
?????????????????????图片十五：Application.Run
?
?发现执行且调用了函数rGNvwJqoJ，点开其余的文件发现该函数实现在CTrjsVrF，这就好办了，如下所示：
?????????????????????图片十六：跟踪数据
补充：
On Error Resume Next 异常处理，如果出错了继续执行不中断
Dim 声明变量并分配存储空间
Set 将对象引用赋给变量或属性?
?同样发现文本CTrjsVrF中全被加密，还是老方法定位关键执行点，看到Shell代码之后是不是很眼熟，Shell后面又个逗号分割开的vbHide符号，表示隐藏，不用拼接到Continue变量中。
?通过样本1中的方法，获取被真正执行的数据。你仔细观察，其他文件的函数都会被上面所加密的数据调用，所以需要确认被执行的数据即可。如下图所示：
?????????????????????图片十七：获取数据
?
格式与下面的指令一样：
?????????????????????图片十八：指令格式
?以上代码被识别的数据做了三件事：
??1、%ComSpEc% C:\Windows\system32\cmd.exe
??2、cmd参数 /c的含义是执行指定字符串然后中止
??3、混淆powershellb变量
?
?最初分析的时候由于自学，耗费了很长一段时间，原因很简单，我没看到iex，也没太注意最后的数据，而分析的思路如下：
?1、分析解密
???Runtime.interOpservices.marSHAl
???ptrostringingUnI([runtime.interOpservices.marshaL]
???securestring to globalaloc unicode
???covertto-securestring -ke (3..34)
?2、确认加密方式convertto-securestring
?3、微软官方关于convertto-securestrin介绍：https://docs.microsoft.com/zh-CN/previous-versions//dd347656(v=technet.10)
?4、解密开始
?然后根据微软的参考写脚本解密，结果一直不尽人意，最后又完整分析，才明白字符串 ( $ENV:coMSpeC[4,15,25]-joiN‘‘)的含义，这个是什么？如下所示：
?????????????????????图片十九：IEX混淆
?
?Xbash中也介绍过IEX了，既然是IEX就好办了，直接删除掉这一段代码就行了，然后重定向到文件或者贴上删除后的代码运行，即可还原出源代码，如下所示：
?????????????????????图片二十：数据还原
?上述代码中已经做了详细的注释，发现解密后的宏与样本一套路是一样的，不过样本二解密后的样本字符串处理的也很好，所有字符串都进行了拆分处理，解密思路如下所示：
?????????????????????图片二十一：思路
?文章中的宏病毒并不难，并没有涉及太多的数据与API的使用，只是增加了分析的难度与干扰。比如APT宏利用漏洞释放大量的代码，且对屏幕按键进行捕获，利用释放的程序进行网络传输，那些分析起来应该就会困难很多。
?
链接：https://pan.baidu.com/s/1tI4JFnKVz81zf05rzMgwKg
提取码：dezj
推荐：关于复合文档的研究：https://www.cnblogs.com/AspDotNetMVC/p/3810839.html
推荐：关于宏专辑：https://bbs.ichunqiu.com/forum.php?mod=collection&action=view&ctid=133
标签：变量 pow The ffd 其他 cmd参数 ble exe windows
原文地址：http://blog.51cto.com/13352079/2352620
