首页    技术博客    PHP教程    数据库技术    前端开发   HTML5    Nginx    php论坛
新用户注册 | 会员登录
加入会员，解锁专属内容
取消
热门标签 | HotTags
当前位置:  开发笔记 > 编程语言 > 正文

Qakbot近期更新细节分析

作者：手机用户2502902903_601 | 来源：互联网 | 2023-09-02 13:05
Qakb

Qakbot是一种多功能的银行木马，近期攻击活动大多数旨在盗窃受害者凭证信息。然而，随着Trickbot和其他僵尸网络恶意软件家族开始利用勒索软件盈利，Qakbot最近也开始转变模式：为Cobalt Strike之类的后渗透工具提供访问入口，最终加载ProLock、Egregor等勒索软件。在11月24日更新版本中，Qakbot将其loader程序和主要模块bot合并为一个文件。除此之外，为了增强隐蔽性，Qakbot更换了旧的持久性机制，并且使用注册表来记录日志。

初始访问

在近期的攻击活动中，Qakbot依然使用最常见的攻击手段—钓鱼邮件，简单有效。其钓鱼邮件主要分为两种形式：1. 带有恶意文档附件的垃圾邮件，诱饵文档名字或邮件标题会使用与当前时事热点相关的短语字眼；2. 使用常见诱惑性文本的垃圾邮件，其中包含用于下载恶意文件的链接，攻击目标必须手动单击该链接才能下载。

用于下载恶意软件的Excel文件能够躲避大多数反病毒程序的检测。在每次恶意垃圾邮件投递之后的一、二天时间内，大多数病毒文件在VirusTotal上近70种防病毒产品中只有三到五种能够检测。通常情况下，在接下来的几天将陆陆续续有越来越多的防病毒产品开始将其标记为恶意文档，但对于计算机已经被感染的受害者而言，已经为时已晚。

隐蔽性

当受害者打开邮件附件或下载链接中的Excel文档，它们会伪装成DocuSign加密文档，文档中包含Excel 4旧版的恶意宏代码。Excel文档中第一张工作表的名称为“DocuSign”，并且设置Excel文档其他属性来使其具有唯一性。在VirusTotal中筛选出具有这些特殊属性的42,400多个恶意文件，其中大多数文件只有三至五种反病毒产品标记为恶意，并且有近300份包含Excel 4恶意宏的文档无法被检测。这意味着Qakbot能够非常容易通过电子邮件威胁扫描系统的检测，从而到达受害者的邮箱。

伪装成DocuSign加密的文档，并且提供分步指导，诱导用户先单击“启用编辑”，然后单击“启用内容” 
恶意Excel文档中的宏代码非常简单，从有效载荷下载服务器（通常是受感染的Web服务器）下载Qakbot bot DLL，然后使用regsvr32.exe加载bot DLL。

由于这些恶意文档的检测率很低，因此其使用 regsvr32 -s 参数加载DLL可以做为一个关键的检测点。

Qakbot安装

解压后的Qakbotloader/bot DLL具有两个导出函数：DllEntryPoint和DllRegisterServer。DllRegisterServer包含loader/bot的主要代码，并且仅当DLL是通过regsvr32.exe -s加载或rundll32.exe使用“ DllRegisterServer”命令行参数执行时才会被调用。如果它是在没有这些命令行参数的情况下执行，则仅会调用DllEntryPoint函数。由于DllEntryPoint函数不会执行任何恶意操作，因此沙箱系统可能会将DLL标记为安全。
在新组合的loader程序和bot DLL中，Qakbot的loader部分已大大简化，但仍然保留了反分析/反沙箱检查部分。新loader程序的安装流程仅在bot程序注入explorer.exe后才触发，loader程序将在注册表中写入由bot程序运行时生成的加密配置信息，而不再写入系统的落地文件中。

持久化

第一种可行的持久话机制是使用命令行安装计划任务。

第二种使用注册表“Run”键，但在新版本的Qakbot中该持久化机制更具隐蔽性。该机制会监听系统关闭消息以及PowerBroadcast挂起/恢复消息。如果下图所示所示，检测到系统关机或挂起（睡眠），Qakbot则会在计算机睡眠或关机之前将其自身安装到注册表自启项“Run”，以便在系统唤醒或重新启动时执行Qakbot。由于离系统关闭的时间非常短，以至于安全产品还没来得及检测并报告新的自启动项。如果它检测到“Resume”消息（在系统睡眠结束时发送），它将删除注册表中的“Run”键，以躲避威胁防护产品的检测。

这种特殊的持久化机制并不是首例，之前Gozi和Dridex也有使用。Qakbot在整个执行过程中多次尝试删除自身的“Run”键，以确保它不存在于注册表中。由于创建的“Run”键值名称是完全随机的，因此Qakbot无法确切知道该键的名称，所以会尝试删除键值与Qakbot路径匹配的任何“Run”键。


注册表中的加密配置

新版Qakbot最明显的变化之一是删除了以“ .dat”结尾的配置和日志文件，该文件由旧版loader/bot程序创建并在运行时更新。相同的配置数据已写入注册表并加密，而不再作为.dat文件存储在受害系统上。
在启动过程中，该bot程序会在HKCU \\Software \\ Microsoft \\ <随机字符串> 中创建一个新键。在此键内是八个字符的十六进制字符串（使用字符af，0-9），表示一个哈希配置项。每个值都包含加密的配置项，使用由受害者计算机信息的SHA1哈希值组成的RC4密钥以及配置值组成，配置值是一个小端字节序的DWORD，然后用随机数据填充密钥，以进一步混淆真实数据内容。

参考链接

https://www.binarydefense.com/qakbot-upgrades-to-stealthier-persistence-method/


推荐阅读
  • express

    如何在Nginx服务器上轻松配置CertBot以实现SSL证书自动化管理

    为了确保iOS应用能够安全地访问网站数据，本文介绍了如何在Nginx服务器上轻松配置CertBot以实现SSL证书的自动化管理。通过这一过程，可以确保应用始终使用HTTPS协议，从而提升数据传输的安全性和可靠性。文章详细阐述了配置步骤和常见问题的解决方法，帮助读者快速上手并成功部署SSL证书。 ... [详细]
  • express

    使用Netzob逆向未知协议的技术指南

    本文详细介绍如何使用Netzob工具逆向未知通信协议，涵盖从基本安装到高级模糊测试的全过程。通过实例演示，帮助读者掌握Netzob的核心功能。 ... [详细]
  • js

    Cookie学习小结

    Cookie学习小结
    Cookie学习小结 ... [详细]
  • js

    为什么多数程序员难以成为架构师？

    为什么多数程序员难以成为架构师？
    探讨80%的程序员为何难以晋升为架构师，涉及技术深度、经验积累和综合能力等方面。本文将详细解析Tomcat的配置和服务组件，帮助读者理解其内部机制。 ... [详细]
  • install

    Linux 环境下 Java 及相关软件的安装指南

    本文详细介绍了如何在 Linux 系统上安装 JDK 1.8、MySQL 和 Redis，并提供了相应的环境配置和验证步骤。 ... [详细]
  • install

    用阿里云的免费 SSL 证书让网站从 HTTP 换成 HTTPS

    用阿里云的免费 SSL 证书让网站从 HTTP 换成 HTTPS
    HTTP协议是不加密传输数据的，也就是用户跟你的网站之间传递数据有可能在途中被截获，破解传递的真实内容，所以使用不加密的HTTP的网站是不 ... [详细]
  • php

    PHP 各版本对比：标准版与最新顶级版的详细分析

    PHP 各版本对比：标准版与最新顶级版的详细分析 ... [详细]
  • match

    DVWA学习笔记系列：深入理解CSRF攻击机制

    DVWA学习笔记系列：深入理解CSRF攻击机制
    DVWA学习笔记系列：深入理解CSRF攻击机制 ... [详细]
  • utf-8

    如何将TS文件转换为M3U8直播流：HLS与M3U8格式详解

    如何将TS文件转换为M3U8直播流：HLS与M3U8格式详解
    在视频传输领域，MP4虽然常见，但在直播场景中直接使用MP4格式存在诸多问题。例如，MP4文件的头部信息（如ftyp、moov）较大，导致初始加载时间较长，影响用户体验。相比之下，HLS（HTTP Live Streaming）协议及其M3U8格式更具优势。HLS通过将视频切分成多个小片段，并生成一个M3U8播放列表文件，实现低延迟和高稳定性。本文详细介绍了如何将TS文件转换为M3U8直播流，包括技术原理和具体操作步骤，帮助读者更好地理解和应用这一技术。 ... [详细]
  • utf-8

    HTML布局问题：设置top:0%和left:0%，但浏览器中仍出现空白填充

    在HTML布局中，即使将 `top: 0%` 和 `left: 0%` 设置为元素的定位属性，浏览器中仍然会出现空白填充。这个问题通常与默认的浏览器样式、盒模型或父元素的定位方式有关。为了消除这些空白，可以考虑重置浏览器的默认样式，确保父元素的定位方式正确，并检查是否有其他CSS规则影响了元素的位置。 ... [详细]
  • install

    Unity与MySQL连接过程中出现的新挑战及解决方案探析

    Unity与MySQL连接过程中出现的新挑战及解决方案探析 ... [详细]
  • install

    服务器部署中的安全策略实践与优化

    服务器部署中的安全策略实践与优化
    服务器部署中的安全策略实践与优化 ... [详细]
  • match

    深入探索HTTP协议的学习与实践

    深入探索HTTP协议的学习与实践
    在初次访问某个网站时，由于本地没有缓存，服务器会返回一个200状态码的响应，并在响应头中设置Etag和Last-Modified等缓存控制字段。这些字段用于后续请求时验证资源是否已更新，从而提高页面加载速度和减少带宽消耗。本文将深入探讨HTTP缓存机制及其在实际应用中的优化策略，帮助读者更好地理解和运用HTTP协议。 ... [详细]
  • string

    iOS中基于HTTPS协议的安全网络请求实现

    在iOS开发中，基于HTTPS协议的安全网络请求实现至关重要。HTTPS（全称：HyperText Transfer Protocol over Secure Socket Layer）是一种旨在提供安全通信的HTTP扩展，通过SSL/TLS加密技术确保数据传输的安全性和隐私性。本文将详细介绍如何在iOS应用中实现安全的HTTPS网络请求，包括证书验证、SSL握手过程以及常见安全问题的解决方法。 ... [详细]
  • hash

    深入解析 OpenSSL 生成 SM2 证书：非对称加密技术与数字证书、数字签名的关联分析

    深入解析 OpenSSL 生成 SM2 证书：非对称加密技术与数字证书、数字签名的关联分析
    本文深入探讨了 OpenSSL 在生成 SM2 证书过程中的技术细节，重点分析了非对称加密技术在数字证书和数字签名中的应用。非对称加密通过使用公钥和私钥对数据进行加解密，确保了信息传输的安全性。公钥可以公开分发，用于加密数据或验证签名，而私钥则需严格保密，用于解密数据或生成签名。文章详细介绍了 OpenSSL 如何利用这些原理生成 SM2 证书，并讨论了其在实际应用中的安全性和有效性。 ... [详细]
author-avatar
手机用户2502902903_601
这个家伙很懒，什么也没留下！
Tags | 热门标签
RankList | 热门文章
PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具
Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有