非出网教程:是一个免费提供流行杀毒软件教程、在线学习分享的学习平台!

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶

 一、综述

       近期,火绒安全实验室发出警报,著名的美国数字文档签署平台 DocuSign的用户正在遭受病毒邮件的攻击,该平台在全球拥有2亿用户,其中包括很多中国企业用户。请DocuSign的用户提高警惕,在收到相关邮件时仔细查验真伪,不要轻易打开邮件正文中的word文档查看链接。

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       火绒安全团队根据截获的病毒邮件分析和溯源,发现知名的数字文档签署平台DocuSign遭到黑客入侵,导致用户资料被泄露。病毒团伙得到用户信息后,伪造了一个假域名“DocuSgn”(比DocuSign少一个字母i),从这里向用户发出病毒邮件,病毒邮件伪装成会计发票,由于邮件标题及正文均使用 DocuSign 品牌标识,充满迷惑性,诱骗用户下载含有恶意代码的word文档,当用户打开文档时,系统会询问用户是否打开被禁用的恶意宏代码,如果用户启用被禁宏,便会开启病毒的多次接力下载,最终下载并运行Zbot。(如下图所示)

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       本次病毒邮件攻击的受害人群仅限于DocuSign用户,火绒安全通过虚拟行为沙盒可以检测出恶意行为,所以无需升级即可彻底查杀病毒,并且通过“恶意网址拦截”功能,拦截假冒域名docusgn.com。 

二、事件分析

       近期,火绒工作人员收到了一封来自"docusign"的邮件,经火绒工程师确认,这是一封伪装DocuSign的钓鱼邮件。图中发件人的邮箱地址为
,和官方docusign.com有一字之差,如下图所示:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       火绒一共收到4封正文相同的邮件,只是下载文档的地址变换了4次。分别如下:


屏幕快照 2017-05-21 12.59.46.png


      
点击“REVIEW DOCUMENT”下载包含恶意代码的Word文档:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


      下载的文档内容也是相似,只有一副图片。火绒初步怀疑该恶意文档是使用MetaSpolit工具生成。打开文档后,Word会询问用户是否打开被禁用的恶意宏代码,如下所图:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       如果按照钓鱼文档的说明,关闭安全警告启用宏,就会触发文档中的恶意脚本,脚本执行过程中会进行多次解密,解密数据来自于宏脚本窗口中的控件对象。控件对象数据如下:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       关键解密过程如下:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


       控件对象数据最终会解密出包含恶意代码的PE文件,然后启动系统进程svchost.exe,将解密后的病毒注入到svchost.exe中执行:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶


      

被注入的svchost.exe还是一个下载器,联网后下载另一个病毒程序"BN2589.tmp.exe"到TEMP目录并执行。
       通过分析, “BN2589.tmp.exe”是一个被混淆器多重加密的Zbot。病毒会启动explorer.exe作为傀儡进程运行恶意代码:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       上图中Explorer被病毒Patch了入口点代码,确保在Explorer恢复线程后,可以从入口点跳转到注入的恶意代码,随后跳转到恶意代码入口点继续解密:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       注入到explorer的恶意代码是一个混淆后的动态库,其导入表是经过加密进行存放的,在动态库被注入后会先对其导入表进行修复,修复后进会保留函数地址,并对函数名部分进行擦除:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       其父进程注入explorer时会在其内存块其实地方记录下一段加密的用户配置信息和启动程序路径:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶

 

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       病毒主逻辑中,首先会检测虚拟机进行反调试:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶

 

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       该样本中所使用的所有资源都被加密:

 
DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



      通过解密可以得到C&C服务器域名如下:

 

屏幕快照 2017-05-21 12.59.28.png 

 

屏幕快照 2017-05-21 12.55.50.png

       其程序运行中会不断的尝试联网,获取C&C传回的数据信息。在样本中我们还发现大量DNS服务器,如下:

 

屏幕快照 2017-05-21 12.59.35.png 

 



       这些DNS服务器具有DNSCrypt功能,推测其目的是加密访问病毒C&C服务器,如下:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶

 

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       完整的解密后数据:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       根据病毒的行为和复杂程度,结合上图中红色框中的解密出来的字符片段,但是通过此前泄露的ZBot源码,可以断定这就是Zbot无疑:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       Zbot是一个历史悠久且功能复杂的木马程序,因为源码的泄露。使得任何人都可对其修改,我们可以从之前泄露的Zbot源码看到病毒有以下主要行为:

1.获取浏览器cookies,flash player cookies, FTP密码和email密码。

 



       Zbot会针对不同的FTP和email客户端,读取其保存账户信息的注册表或文件,之后将收集到的信息打包发送到病毒作者的C&C服务器。从下面两张图中,我们可以看到Zbot能够盗取市面上主流FTP和email软件的账户信息。

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶

 

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



2.HOOK InternetReadFile 和 InternetReadFileExA函数,在获取网页时向网页中注入代码获取用户的账户信息:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



3.HOOK GetClipboardData 函数获取剪切板信息:

 



4.HOOK TranslateMessage函数,拦截程序消息,当为按钮按下消息时,截屏保存图片。当为键盘按键消息时,则记录按键信息。如下图所示:

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



       除了上述介绍的几个函数外Zbot还HOOK了一些系统API,和上述方法类似,主要用于获取用户信息,这里就不再详细列举。

       Docusign是数字文档签署平台,其客户多是企业用户。此次Zbot攻击,非常有针对性,结合Zbot的行为, 不排除病毒会窃取商业资料,网银密码、等企业关键信息。

       火绒在拦截到病毒样本之前就已经可以对相关病毒样本进行查杀,并且在拦截到病毒当天就升级了恶意网址拦截,阻拦了虚假域名docusgn.com。

DocuSign网站用户资料泄露 病毒团伙运用邮件疯狂作恶



三、附录


样本SHA1:

Eml
652eb7097d327cae8bd8a1d0d8e606f6a77603c8
99d84db0b071f0db97dc9d024349c3f4edb66911
a5f30b73103754923c568d7548af56fceed148b5
eda9ac8e9b21c969c11d05337892e44fa9c1c045
DOC
cb6797ff6eb43748c07faaa7bf949a42929a5220
d6eefe9314ff0c581acf26d5a647e40c9d12fcd8
PE
a809de46a2e21ac6aab7b66dbaa2206332935af3
ae76db7f24a111ca022b00d29fb08cc76cbab41b
 
分析报告下载链接:

 





相关软件

2345安全卫士最新官方版

2345安全卫士官方版 | 45.34MB

2345安全卫士官方版

2345安全卫士是集电脑体检、木马查杀、垃圾清理、修复系统漏洞、系统加速、软件管理等功能为一体的电脑安全管理的软件.提供全方位检测,用户可以通过检测结果快速了解自己的电脑并且对电脑进行优化..

360杀毒软件官方正式版

360杀毒软件官方正式版 | 35.10MB

360杀毒软件官方正式版

360杀毒具有查杀率高、资源占用少、升级迅速等优点。零广告、零打扰、零胁迫,一键扫描,快速、全面地诊断系统安全状况和健康程度,并进行精准修复,带来安全、专业、有效、新颖的查杀防护体验...

360安全卫士最新版下载

360安全卫士最新版下载 | 50.3MB

360安全卫士最新版下载

360安全卫士是一款由奇虎360公司推出的功能强、效果好、受用户欢迎的安全杀毒软件。360安全卫士拥有查杀木马、清理插件、修复漏洞、电脑体检、电脑救援、保护隐私,电脑专家,清理垃圾,清理痕迹...

QQ电脑管家官方正式版

QQ电脑管家官方正式版 | 24.2MB

QQ电脑管家官方正式版

腾讯电脑管家(Tencent PC Manager/原名QQ电脑管家)是腾讯公司推出的免费安全软件。拥有云查杀木马,系统加速,漏洞修复,实时防护,网速保护,电脑诊所,健康小助手...

金山毒霸2022最新版下载

金山毒霸2022下载 | 37MB

金山毒霸2018最新版下载

金山毒霸融合了启发式搜索、代码分析、虚拟机查毒等技术。经业界证明成熟可靠的反病毒技术,以及丰富的经验,使其在查杀病毒种类、查杀病毒速度、未知病毒防治等多方面达到世界先进水平...

猎豹清理大师官方版下载

猎豹清理大师下载 | 47.4MB

猎豹清理大师官方版下载

猎豹清理大师(原金山清理大师)是由金山网络开发的智能手机应用。它可以清理智能手机上的应用缓存、残余程序文件、历史痕迹以及应用程序安装包...