एक दुर्भावना का अध्ययन

मैक्रो

Declare PtrSafe Function clone Lib "icutils.dll" _
(ByVal Saved As String, ByVal Time As Integer) As Boolean

R1 = Module1.clone("Cream", 0)

Sub updatedb_network()
...
Dim query_to_change As Variant
    Set query_to_change = CurrentDb.QueryDefs("query_name")
    
    query_to_change.SQL = "SELECT * FROM Table ORDER BY ID Asc"
    query_to_change.SQL = "SELECT Field1, Field2 FROM Table ORDER BY ID Asc"
    query_to_change.SQL = "SELECT Field1, Field2 FROM Table WHERE Field LIKE Fashion"
    query_to_change.SQL = "SELECT Field1, Field2 FROM Table WHERE Field LIKE '" & something & "'"
...
End Sub

पहले डी.एल.

https://pastebin.com/raw/Jyujxy7z\x00\x00\x00\x00\x00\x00\x00\xf2i\xe0\x1d\x95h\xbc\x03\xe4#\xe0\x1d<\x04\xe0\x1d\xe6\x00\xde\x01\xa4\x17\xbc\x03x\x01\xe0\x1d\xe2\x16x\x07Qy\xbc\x03@Fx\x07Df\xbc\x03\x89a\xde\x01q\x11\xe0\x1d|Ix\x07D@\xbc\x03\x8a\x01\xde\x01^9\xde\x01\xf2i\xe0\x1d\x95h\xbc\x03\xe4#\xe0\x1d\xab

कोड को cmd.exe में इंजेक्ट किया गया

• kern32.dll से आवश्यक कार्यों के पते ढूँढता है (इसका पता मूल प्रक्रिया से प्राप्त होता है)
• लोड ntdll , Ole32 , User32 लाइब्रेरी
• इन पुस्तकालयों में आवश्यक कार्यों के पते ढूँढता है।

• GetProcAddress
• LoadLibrary
• Globalalloc
• GetTempPath
• GetFileAttributesW
• CreateProcessW
• Globalfree
• GlobalRealloc
• WriteFile
• CreateFileW (नाम से पाया गया)
• WriteFile
• CloseHandle
• Gettickcount
• ReadFile
• GetfileSize

• RtlCreateUnicodeStringFromAsciiz
• ZwDelayExecution
• ZwTerminateProcess
• swprintf

• CoInitialize (नाम से पाया गया)
• CoCreateInstance (नाम से पाया गया)

• हाशिया
• srand

• InternetCloseHandle (crc32: 0xe5191d24)
• InternetGetConnectedState (crc32: 0xf2e5fc0c)
• InternetOpenA (crc32: 0xda16a83d)
• InternetOpenUrlA (crc32: 0x16505e0)
• InternetReadFile (crc32: 0x6cc098f5)

from binascii import crc32
from base64 import b64decode


def decrypt_payload(payload_b64: bytes, url: str):
    payload_bin = b64decode(payload_b64.decode())
    key = str(crc32(url.encode())).encode()
    decrypted = bytearray()
    for i, b in enumerate(payload_bin):
        decrypted.append(b ^ key[i % len(key)])
    return bytes(decrypted)

दूसरा dll

https://pastebin.com/raw/Jyujxy7z\x00\x00\x00\x00\x00\x00\x00\x1e(\xf0\x0e\xc5r\xc0;\x12)\xc0;Jr\xc0;Y4\xbc\x03/Mx\x07\x038\xde\x01\x9e\x05\xe0\x1d#\x08\xbc\x03\xeeU\xf0\x0e\x18{x\x078\x1a\xf0\x0e\xccg\xf0\x0eze\xde\x01\x89&\xe0\x1d\xf6\x1f\xe0\x1d

पास्टबिन के साथ पेलोड

निष्कर्ष