MHT恶意文档投递及免杀研究

Track-SSG   ·   发表于 2018-9-21   ·   漏洞文章

enter image description here

报告编号: B6-2018-091801

报告来源: 360-CERT

报告作者: Khwarezmia_,merjerson

更新日期: 2018-09-18

 

0x00 概述

近日360 CERT关注到ISC发布一篇关于mht文档的分析文章[Malware Delivered Through MHT Files] ,该文章详细讲述了如何生成mht文档以及对其生成的恶意文档进行查杀效果测试。

MHT文档又称为聚合HTML文档、Web档案或单一文件网页。单个文件网页可将网站的所有元素(包括文本和图形)都保存到单个文件中。MHT文档可以由浏览器和Office软件创建。因此,在野攻击事件中,攻击者偶尔使用MHT文档作为载体发起鱼叉和水坑攻击。从ISC的文章我们可以感知MHT恶意文档抬头的趋势。

 

0x01 针对Office的攻击样本分析

APT32在2017年的攻击中曾使用MHT恶意文档作为载体,该文档内包含恶意的VBA代码。受害者一旦打开文档,恶意VBA代码将得到执行。此处我们以包含宏的MHT恶意文档举例分析,但是使用Office漏洞的MHT恶意文档同样需要警惕。

示例样本MD5:CE50E544430E7265A45FAB5A1F31E529

如图所示,从文档981行开始的连续可见字符经过base64编码

alt

对其解码后得到ActiveMime文件

alt

从该文件偏移0x32开始使用zlib解压提取到最原始的对象文件

alt

对其静态分析我们可以看到其中的恶意代码

alt

 

0x02 针对IE免杀的研究分析

从结构上来讲,MHT文件是由multipart组成的,类型有text/html、text/css、application/octet-stream、image等,每个multipart可使用base64进行编码。

这样的话,就存在每个multipart的渲染顺序问题。经过测试,IE浏览器对所有的multipart全部解码后统一渲染。

针对这个特性,我们将恶意代码或者链接进行拆分绕过杀软检测。

我们使用ISC所给示例中的恶意链接进行测试

alt

对样本稍加变形

alt

生成MHT文件如下

alt

上传virustotal检测,实现免杀效果

绕过杀软有以下两个原因:

1.对链接、脚本进行base64编码,不容易进行检测。

2.可以对链接和脚本进行拆解,在IE渲染的时候,在内存中完成拼接。增加了杀软查杀难度。

 

0x03 总结

总的来讲,根据过去的经验,MHT格式的恶意文档在如茫茫大海的在野攻击中占比并不算高。正因如此,在样本检测和事件响应方面容易被各大厂商和分析人员忽略。360 CERT关注到在APT组织构造的样本和某些严重的定向攻击事件中存在MHT恶意样本并将其认定为常见的、重要的恶意样本类型,且该类型恶意样本有逐渐增多的趋势,需要给予更多重视。

 

0x04 IoC




本文由安全客原创发布                                
转载自安全客 - 有思想的安全新媒体


打赏我,让我更有动力~

0 Reply   |  Until 2018-9-21 | 353 View
LoginCan Publish Content
返回顶部 投诉反馈

掌控者 © 2016 - 2020. All Rights Reserved. 掌控者

Powered by 掌控者