delphi 2016 下载 Zebrocy新组件入侵过程详细解析(5)

) 第二:找到路径c:\documents and settings\all users\application data\windows genuine advantage\data 打开我的电脑,复制上面路径到地址栏,回车。

通过拼接C盘序列号和UserName 生成一个16字节的id，并存储在audev.txt文件中。

下载器收集以下信息：

应用程序的当前路径

操作系统版本

系统目录

用户域

机器名称

用户名

当前时区

当前的日期

逻辑驱动器列表和每个驱动器列表的信息（型号，序列号等）

C:\Program Files\和C:\Program Files（x86）的目录列表

进程列表

所有这些信息都保存在C:\Users\Public\Videos\ si.ini文件中，并作为电子邮件的附件通过SMTPS默认端口465发出。电子邮件正文包含字符串SI（可能是代表系统信息），收件人是sym777.g@post.cz。所有电子邮件的主题设置为id。

运营者使用多个收件地址，并将相同的电子邮件发送给另外两个收件人，以防止主要收件人无法收邮件。发送电子邮件后，下载器将删除si.ini文件。

恶意软件第一次执行时会创建包含{System_Parametrs = 10}的文件:set.txt，并创建Windows注册表项：

受害者计算机的屏幕截图被命名为scx.bin，并作为电子邮件附件发送，电子邮件正文中是SC（可能是Screenshot缩写）。

发送后，恶意软件通过SSL的POP3（端口995）连接到kae.mezhnosh@post.cz邮箱，并查找主题对应于自己的id邮件。如果有这样的邮件并且正文不为空，则恶意软件用十六进制编码方式对其进行解码，然后将正文为okey的邮件发送到sym777.g@post.cz。之前找到的邮件内容将按以下方式进行处理和解析：

        string[] strArray = this._adr.Replace("B&", "").Replace("Db", "").Split('%');
        string str1 = strArray[0];
        string str2 = strArray[1];

获得两个字符串：第一个是密码，第二个是电子邮件地址的用户名。

在这场新型恶意活动中，受害者会接收到一封垃圾邮件，其中包含一个微软office文件的附件，邮件中声称此附件为一个文件。

②打开打码兔软件(记住运行文件名,下面需要查找修改内存)。

例如，下面的命令搜索 c盘上的每个目录以查找包含'log'字符串的文件名，并且每次显示一屏：。

例如，下面的命令搜索 c 盘上的每个目录以查找包含“log”字符串的文件名，并且每次显示一屏：。

所有日志消息都发送到sym777.g@post.cz，而通过POP3得到的消息是最近获得的凭据。

运营者的这些决策使得取证更加困难。首先，如果您的下载程序包含电子邮件，则无法连接到包含下一阶段的邮箱。

其次，如果你获得了电子邮件凭据，仍然无法获取下一个payload，因为它在检索后已被删除。

下载器成功将附件写入磁盘后，它会在正文中发送一封带有okey2的电子邮件，并发送一个内容包含090名为l.txt的附件。该附件被000覆写，同时恶意软件尝试获取另一条消息。再次，如果它有用，则发送正文为okey3和附件为l.txt的邮件。附件的内容是目录和文件名。恶意软件将audev文件移动到此文件路径。最后，恶意软件会发送一封电子邮件，其中包含正文okey4和附件l.txt。它启动可执行文件：audev.exe并检查进程列表以查看其中一个是否包含字符串audev。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-90734-5.html