警惕最新的Smoke Loader与Andromeda变种botnet

随着网络的普及，我们的生活越来越方便，但是网络安全也成了很多人面临的一个问题。特别是那些有着商业数据的企业电脑，更要注意上网安全常识，不然病毒会对我们造成严重的威胁。

一、概述

近期我们翰海源团队一直在持续关注着一个Bo.net的演变，该Botnet从2014年8月末开始活动，一直持续到2014年10月底，截至目前该Botnet仍然存活。同时我们也在金融、IT、政府、银行等行业发现了攻击样本，我们提醒客户请警惕最新的Smoke Loader和Andromeda变种botnet。

Botnet使用钓鱼邮件作为主要的传播途径，邮件大多以“my new photo”或者“New offer Job”为主题，携带一个名为“photo.zip”或者“offer.zip”的压缩附件。

cs.xzking.com/d/file/20141101/832b9f5bea501eb1ef4adbe77f5018c7.png' />

在监控中发现，该Botnet在9月份使用Smoke Loader 作为主要的攻击载荷，在10月份之后，该Botnet开始逐渐转变为Andromeda，这两种不同类型的Botnet具有一些十分相似的特征，但是出现在同一个较大规模的Botnet中，并不是十分常见。

Smoke Loader Botnet在2011开始一些俄语的黑客论坛公开出售，2014年3月份作者在论坛申明该程序将只针对使用“俄语”的客户出售(only for RU-speaking customers)，不过在网上已经流传出了部分crack版本。

Andromeda Botnet几乎在同一时间出现，目前最新的官方版本为2.08，最初的Andromeda只针对使用俄语的客户出售，2012年作者开始将旧版本开放给使用英语的客户。

这两种Botnet均通过模块化进行安装，原始的安装程序为一个装载器，安装后将根据需要下载其他功能模块，可以窃取主机上的浏览器、FTP、邮件、即时通信工具的账户和密码，接收控制指令对指定目标发起DDos攻击。

该Botnet从8月末开始出现，9月份大量通过邮件的方式传播，从9月份开始到10月末这段时间内我们在某私有云平台上监控到的Botnet每天的活跃统计就有几百，如下图

该Botnet的控制中心主要分布在一些欧洲国家，其中主要的几个分布在乌克兰和俄罗斯境内。

二、技术细节

2.1 装载器

该Botnet使用的装载器采用微软.Net框架的C#语言编写，代码进行混淆处理，我们发现这种框架具有极好的免杀效果，如下图在9月19号捕获到的样本在VT上检测率为0：

装载器主要负责将一字节数组拷贝到一块可写可读可执行的内存区域，并将代码的控制权转交给这一字节数组：

部分装载器包含以下的pdb路径：

c:cryptor.servercryptorscsharp_19_09_2014_20_11_44outdir_zjNXqqGibngGNetThreeNetThreeobjx86 ReleaseNetThree.pdb

2.2 注入器

两种Bot均通过多次的注入来执行最终的恶意代码。

2.2.1 Smoke Loader

SmokeLoader装载器成功将控制器交给shellcode后，shellcode会首先通过注册表项：

HKLMSystemCurrentControlSetServicesDiskEnum

来判断是否在以下虚拟机环境中：

Virtual、VMware、 QEMU、Xen

我们发现在Andromeda 2.06的版本中也用到了同样的方法来检测虚拟机环境。

如果没有检测出虚拟机环境，则shellcode读取装载器的一段加密数据并在内存中进行解密：

解密后的数据是一个可执行文件，该文件并不会写入到磁盘上，而是通过进程注入的方式来执行。

Smoke Loader会将这段可执行文件注入到Explorer.exe进程中，注入的代码并不是最终要执行的恶意代码，而是另一个注入器，这个注入器会通过 XOR解密另一段代码并将最终的恶意代码注入到 svchost.exe进程中：

2.2.2 Andromeda

整个装载过程中，Andromeda与Smoke Loader几乎完全相同，在注入的过程中有部分不同，下图标注部分是Andromeda中的解密标记：

解密完成后shellcode将重新创建一个挂起的（SUSPEND）自身进程，然后将解密后的代码注入：

与Smoke Loader一样，到这里只是完成了第一次注入，接下来注入代码会根据当前系统的版本为32或者64位来选择注入svchost.exe或msiexec.exe。

以注入msiexec.exe为例，注入代码之前会首先创建一个挂起的msiexec.exe进程，通过文件读取msiexec.exe可执行文件到内存中，然后通过ZwUnMapViewOfSection卸载整个进程空间的数据，修改原始文件中的入口地址为恶意代码的地址，通过 ZwMapViewOfSection来将代码注入到新创建的SUSPEND进程并调用ResumeThread重新启动进程。

Smoke Loader和Andromeda均会创建一个守护进程来检测指定路径下的可执行程序运行状态，一旦发现被终止会立即重启主模块。

2.3 对抗

2.3.1 代码混淆

除了在装载器的C#代码中进行过变量和函数名的混淆外，这两种Botnet在shellcode的执行过程中均使用同一种函数名校验和的方法来执行系统函数。

2.3.2 Anti-VM

除了前面提到的Smoke Loader通过注册表来当前运行的环境之外，Andromeda会遍历系统当前进程并计算进程名的CRC32的HASH，然后检查是否存在包含 vmtoolsd.exe、vmwareuser.exe、regmon.exe、filemon.exe、VBoxService.exe 、VBoxTray.exe、WireShark.exe、procexp.exe 等18个进程的HASH。