delphi 2016 下载 Zebrocy新组件入侵过程详细解析(7)

请注意，所有文件都放在恶意软件的工作目录C:\Users\Public\中。

恶意软件第一次执行期间使用众所周知的“登录脚本”技术 完成持久化。它创建一个脚本文件registration.bat并从TForm1对象写入几个字符串。最后的脚本是：

reg add HKCU\Environment /v "UserInitMprLogonScript" /t REG_EXPAND_SZ /d "C:\Users\Public\Videos\audev.exe" /f
del C:\Users\Public\Videos\registr.bat
exit

最后，恶意软件创建了一个id，就像之前Zebrocy二进制文件中看到的一样。该Id由Windows API GetUserNameW方法获得的UserName，和在其前面添加C盘序列号组成。

从简单扫描开始，恶意软件收集的第一类信息是具有以下扩展名的文件：.docx，.xlsx，.pdf，.pptx，.rar，.zip，.jpg，.bmp，.tiff。对于磁盘上找到的每个文件，它将检索文件的完整路径和上次修改日期。这些信息使用前面提到的AES密钥加密并存储在文件0.txt中。另一个扫描针对扩展名.dat，.json，.db，与上述扫描类似，它会检索文件的完整路径和上次修改日期。然后密它们并存储在文件57.txt下。

列出正在运行的进程也是此恶意软件的功能之一，它将该信息存储在08.txt文件中，如下所示：

======Listing_of_processes=======
[System Process]
System
smss.exe
csrss.exe
wininit.exe
csrss.exe
winlogon.exe
services.exe
lsass.exe
[…]

在i.txt文件中，恶意软件收集有关受害者计算机的一般信息以及有关恶意软件的一些信息，例如版本号和执行它的路径，如下所示：

v7.00
C:\Users\Public\Videos\audev.txt 
============================================
Log_Drivers:
 C: fixed; size= 102297 Mb, free=83927 Mb S/N: [redacted]
 ==================================================
 OSV: Windows 7
WinType: 32
WinDir: C:\Windows
Lang: English (United States)
TZ: UTC1:0 Romance Standard Time
HostN: [redacted]-PC
User: [redacted]
===============S_LIST=====================
C:\Program Files\Common Files
C:\Program Files\desktop.ini
C:\Program Files\DVD Maker
C:\Program Files\Internet Explorer
C:\Program Files\Microsoft.NET
C:\Program Files\MSBuild
C:\Program Files\Reference Assemblies
C:\Program Files\Uninstall Information
C:\Program Files\Windows Defender
[…]

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-90734-7.html