概述

白加黑利用，”雅砻江流域水电开发有限公司无人机应用服务供应商池采购项目招标公告_xcod.exe
“是office的白程序，并带有数字签名，原始名为WinWord.exe，。该白exe运行后会自动加载木马文件wwlib.dll。

wwlib.dll释放资源段的加密shellcode，注入shellcode到系统文件rundll32.exe、explorer.exe、白文件WinWord.exe中执行。Shellcode连接jsss.aliyunsdn.com下载执行文件。

初步判定该文件为远控木马。
wwlib.dll SHA1: E0353689EB41CF17EB7BF12242B6C94E3CDBEBF5

逆向

HW行动 - 白利用 RAT样本分析 - 图1

资源为pe文件

HW行动 - 白利用 RAT样本分析 - 图2

资源为shellcode

HW行动 - 白利用 RAT样本分析 - 图3

资源解密：shellcode

HW行动 - 白利用 RAT样本分析 - 图4

注入操作

HW行动 - 白利用 RAT样本分析 - 图5

注入：创建远程线程

HW行动 - 白利用 RAT样本分析 - 图6

被注入程序的映射内存：shellcode

HW行动 - 白利用 RAT样本分析 - 图7

Shellcode：加载网络库wininet

HW行动 - 白利用 RAT样本分析 - 图8

连接C&C服务器

HW行动 - 白利用 RAT样本分析 - 图9

向jsss.aliyunsdn. com请求文件/cdn/status_push

HW行动 - 白利用 RAT样本分析 - 图10

发送请求

HW行动 - 白利用 RAT样本分析 - 图11

下载文件

HW行动 - 白利用 RAT样本分析 - 图12

接收数据

HW行动 - 白利用 RAT样本分析 - 图13

HW行动 - 白利用 RAT样本分析 - 图14

注入explorer进程与WINWORD进程

HW行动 - 白利用 RAT样本分析 - 图15

注入执行的pe文件导入表被加密

修复后如上所示，该文件为一个反射注入执行的RAT

HW行动 - 白利用 RAT样本分析 - 图16

修复IAT

抓包发现C2信息：

HW行动 - 白利用 RAT样本分析 - 图17

C&C服务器

关联

HW行动 - 白利用 RAT样本分析 - 图18

关联到C2服务器

HW行动 - 白利用 RAT样本分析 - 图19

关联到红队