“验证器” (Validator) 木马是美国国家安全局 NSA (APT-C-40) 所使用的先进轻量级后门木马，其在 NSA 的攻击活动中起到先锋的作用，会被首先植入到目标机器中进行环境探查和信息收集等工作。
近期，兄弟部门对该木马的 12.3.1.0 版本进行了分析，在这篇文章中将对该木马的 8.2.1.1 版本进行详细分析。
样本信息：
| MD5 | 55f0afafcbdea70278b22fcb****c94c |
|---|---|
| SHA1 | d1f4f4e1f7d65755ac1cfc3189d38cd7****4102 |
样本概述：
该样本为 “验证器”（Validator）木马的 8.2.1.1 版本，其初次进入主机时是以 ee.dll 作为名称植入，然后以 actxprxy32.dll/actxprxyserv.dll 为名并使用 dll com 劫持实现持久化，最终寄宿在 avp.exe/svchost.exe 进程中进行恶意行为。
运行流程：
详细分析：
1， 该样本是一个 DLL 文件，原始文件名为 actxprxy32.dll。
文件信息：
2，加载 actxprxy.dll 文件 (被劫持文件) 获取其导出函数用于函数的转发维持正常调用。
3，解密”BINRES”类型的资源 1，该资源长度为 8 字节含有两个功能指令，解密失败则进行卸载操作。
查找资源：
解密方式异或 0x79。
4，进行当前模块名称判断。
4.1>如果当前模块名称是 ee.dll。
首先在 %windir%\system32\ 目录下搜索 actxprxy32.dll 和 actxprxyserv.dll 文件，搜索到则将其删除并将自身复制为被删除的文件，未搜索到则将自身复制为actxprxy32.dll，复制完成后删除自身。
然后将上述复制的文件 actxprxy32.dll/actxprxyserv.dll 根据当前操作系统版本设置 dll com 劫持进行持久化。
| 操作系统版本 | 劫持位置 |
|---|---|
| Windows XP Windows Server 2003 Windows Server 2003 R2 | 劫持 COM 对象注册表键： HKEY_CLASSES_ROOT\CLSID\{B8DA6310-E19B-11D0-933C-00A0C90DCAA9}\InProcServer32 (Default) = %windir%\System32\actxprxy32.dll (Default) = %windir%\System32\actxprxyserv.dll |
| Windows Vista Windows Server 2008 Windows 7 Windows Server 2008 R2 | 劫持 COM 对象注册表键： HKEY_CLASSES_ROOT\CLSID\{C90250F3-4D7D-4991-9B69-A5C5BC1C2AE6}\InProcServer32 (Default) = %windir%\System32\actxprxy32.dll (Default) = %windir%\System32\actxprxyserv.dll |
最后创建以下注册表项并设置其访问权限为低。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{77032DAA-B7F2-101B-A1F0-01C29183BCA1}\
MiscStatus 键用于记录木马运行时的错误信息，初始值为 “0”。
TypeLib 键用于记录 ClientID，初始值为{8C936AF9-243D-11D0-8ED4-00C04A34F692}。
Version 键用于记录木马版本，值为 008.002.001.001。
ClientID 的生成逻辑如下，格式为{8C936AF9-243D-11D0-****-************}，初始的ClientID 由配置信息中的 machineid 产生。
设置完成。
在此期间会检查主机上是否存在一些预定的进程、服务以及 dll com 劫持，若检测到则会终止相应的进程和服务，恢复相应的 dll com 劫持，推测目的为清除旧组件。
查找目标进程：计算进程第一个模块名 hash 并与预设 hash 比较。
查找目标服务：枚举以下注册表下的项并计算其名称的 hash 与预设 hash 进行比较。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VxD
查找目标 dll com 劫持：检测以下注册表下的值是否含有特定字符串。
| 检查的 dll/com 劫持注册表路径 |
|---|
| HKEY_CLASSES_ROOT\CLSID\{C90250F3-4D7D-4991-9B69-A5C5BC1C2AE6}\InProcServer32 检测其 (Default) 值是否含有 actxprxy32.dll/actxprxyserv.dll。 |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Winsock 检测其 HelperDllName 值是否含有 wstcpip.dll/hdntcpip.dll。 |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders 检测其 SecurityProviders 值是否含有 crdssp.dll/sp.dll。 |
| HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\KnownDLLs 检测其 LINKINFO 值是否含有 LI.DLL/LINK32.DLL。 |
| HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FAEDCF53-31FE-11D1-AAD2-00805FC1270E}\InProcServer32 检测其 (Default) 值是否含有 netshell32.dll/inetshell.dll。 |
| HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32 检测其 midimapper 值是否含有 midimapper.dll/midimap32.dll。 |
发现目标进程和服务则终止之并删除相应的文件。
若已经存在 dll com 劫持但没有发现上述预定的进程和服务，则会在以下注册表设置错误码(但是若为初次运行以下注册表还未建立则会设置失败)，并且会根据当前操作系统版本恢复相应的 dll com 劫持。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6AF33D21-9BC5-4F65-8654-B8059B822D91}\MiscStatus
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{77032DAA-B7F2-101B-A1F0-01C29183BCA1}\MiscStatus
根据当前操作系统版本恢复相应的 dll/com 劫持。
| 操作系统版本 | 注册表位置 |
|---|---|
| Microsoft Windows 98 | DLL 劫持注册表键： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\KnownDLLs LINKINFO=LINKINFO.DLL |
| Windows 2000 | DLL 劫持注册表键： HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FAEDCF53-31FE-11D1-AAD2-00805FC1270E}\InProcServer32 (Default)=%windir%\System32\netshell.dll |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Winsoc HelperDllName = %windir%\System32\wshtcpip.dll | |
| Windows XP | DLL 劫持注册表键： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32 midimapper = midimap.dll |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Winsoc HelperDllName = %windir%\System32\wshtcpip.dll | |
| Windows Server 2003 Windows Server 2003 R2 | DLL 劫持注册表键： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Winsoc HelperDllName = %windir%\System32\wshtcpip.dll |
| Windows Vista Windows Server 2008 | DLL 劫持注册表键： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders SecurityProviders = %windir%\System32\credssp.dll |
4.2>如果当前模块名称不是 ee.dll。
则进行竞争模块的删除，如当前模块名是 actxprxy32.dll 则搜索删除 actxprxyserv.dll 和 ee.dll。
5，解密”BINRES”类型的资源 2 获得配置信息，然后在使用 rc6 算法加密与 base64编码后将其设置到以下注册表中。
rc6 key:66 39 71 3C 0F 85 99 81 20 19 35 43 FE 9A 84 11
存储位置：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6AF33D21-9BC5-4F65-8654-B8059B822D91}\TypeLib\DigitalProductId
查找资源。
解密方式异或 0x79。
经过分析得到的配置信息中部分数据含义。
其中 “配置更新时间”，”上次与 C2 通信时间”会在运行时更新，”最大通信间隔” 是主机与 C2 上次通信的间隔，时间为 30 天。
6，判断当前宿主进程是否是 avp.exe\svchost.exe 不是则不执行恶意功能。
7，关闭主机代理。
8，创建互斥体。
互斥体名称 “InternetParser”。
9，连接白名单地址进行网络连通性测试。
10，连接 C2 发送信息获取数据/指令。
首次发送的数据包括主机 IP、MAC和 machineid，通信数据均使用 rc6 算法加密并使用 base64 编码。
rc6 key:37 08 EF B9 29 A7 4B 6B AB 3E 5D 03 F6 B0 B5 B3
发送数据加密之前的结构。
包内容如下，其中 EIag 标签的值为 0d1975bf[machineid]9c:eac。
11，指令分析与执行。
| 指令 | 功能描述 |
|---|---|
| 0x42 | 若已使用 0x70 更新 MachineID 则重设 ClientID。 同时取包中第二个字节作为子命令号，具有如下功能： l命令0：重新连接 C2 服务器 l命令2：卸载 l其他情况：重置与 C2 通信加密数据的 rc6 算法的秘钥 |
| 0x44 | 打开指定文件并写入，文件不存在则创建该文件 |
| 0x4A | 获得指定文件的大小，文件不存在则创建该文件 |
| 0x4B | 获得已存在文件的大小 |
| 0x53 | 读取已存在文件，并根据读取情况决定是否搜索并删除目标文件 |
| 0x56 | CRC16校验文件，不通过则删除；通过则复制文件,删除原文件,然后根据标志以及文件类型判断是否以进程形式运行还是加载运行 |
| 0x60 | 收集主机信息回传 |
| 0x70 | 收集主机信息，生成 MachineID (用于生成 ClientID) |
| 0x75 | 修改转换时间的间隔,收集主机信息回传 |
| 0x76 | 更新注册表配置信息中的 C2 IP 地址，收集主机信息回传 |
| 0x78 | 设置目标文件路径 |
| 0x79 | 更新配置信息 |
| 0x80 | 删除指定文件 |
当指令为收集信息回传时，收集的信息按以下标识进行分类。
| 标识 | 信息描述 |
|---|---|
| 000 | MAC 信息 |
| 001 | IP 地址 |
| 002 | 木马版本信息 |
| 003 | 未知 |
| 004 | 代理服务器信息 |
| 005 | 注册所有人信息 (RegisteredOwner) |
| 006 | 注册机构信息 (RegisteredOrganization) |
| 007 | 系统版本信息 (CSDVersion) |
| 008 | 系统当前版本号 (CurrentBuildNumber) |
| 009 | 系统当前内核版本 (CurrentVersion) |
| 010 | 系统产品ID (ProductID) |
| 011 | 语言环境信息 |
| 012 | 国家信息 |
| 013 | %windir% 路径 |
| 014 | 网络连接方式(直连、拨号) |
| 015 | 已安装的软件 |
| 016 | 未知 |
| 017 | 不存在 |
| 018 | 系统位数 |
| 019 | 当前时间(日期) |
例：
关于我们
360沙箱云是 360 自主研发的在线高级威胁分析平台，对提交的文件、URL，经过静态检测、动态分析等多层次分析的流程，触发揭示漏洞利用、检测逃逸等行为，对检测样本进行恶意定性，弥补使用规则查杀的局限性，通过行为分析发现未知、高级威胁，形成高级威胁鉴定、0day 漏洞捕获、情报输出的解决方案；帮助安全管理员聚焦需关注的安全告警，过安全运营人员的分析后输出有价值的威胁情报，为企业形成专属的威胁情报生产能力，形成威胁管理闭环。解决当前政企用户安全管理困境及专业安全人员匮乏问题，沙箱云为用户提供持续跟踪微软已纰漏，但未公开漏洞利用代码的 1day，以及在野 0day 的能力。
360混天零实验室成立于2015年，负责高级威胁自动化检测项目和云沙箱技术研究，专注于通过自动化监测手段高效发现高级威胁攻击；依托于 360 安全大数据，多次发现和监测到在野漏洞利用、高级威胁攻击、大规模网络挂马等危害网络安全的攻击事件，多次率先捕获在野利用 0day 漏洞的网络攻击并获得厂商致谢，在野 0day 漏洞的发现能力处于国内外领先地位，为上亿用户上网安全提供安全能力保障。