---
# System prepended metadata

title: Amadey 威脅分析
tags: [AIS3]

---

:::info
專題主題 : 情資運用及惡意程式分析
組別: M1-(林旺豪、吳承翰、李佳軒)

[PPT檢視版]()
:::

---
## Information 
- **SHA256:** 449d9e29d49dea9697c9a84bb7cc68b50343014d9e14667875a83cade9adbc60
- **FirstSeen:** 2023-04-09 06:45:51 UTC (較新的惡意程式)
- **Type:** RedlineStealer(on MalwareBazaar), Avadey (after analyzing)


## 分析程式
### 【使用DIE查看檔案的特徵與屬性】
-![](https://hackmd.io/_uploads/HJSzTelih.png)
可以發現這個程式是一個CABfile，可以再繼續利用解壓縮檔案提去其他執行檔。
![](https://hackmd.io/_uploads/BkKKZsZon.png)
使用DIE中的Entropy功能查看此檔案的亂度，若是亂度高則有較高機率為惡意程式。

## Any Run

![](https://hackmd.io/_uploads/rJY2Gjbo3.png)
![](https://hackmd.io/_uploads/r1e4XjZs3.png)

[Ruuning the malware](https://app.any.run/tasks/818cd04b-e635-406b-be6c-6fb385cdeaae)

![](https://hackmd.io/_uploads/S1vjMj-ih.png)
![](https://hackmd.io/_uploads/ByRB7jWj2.png)

[Running the unpacked malware directly](https://app.any.run/tasks/9352eae8-0619-4787-9ca0-bddda3d75e84)



## 逆向工程開始(你逆你逆)
### 1. 【Detect It Easy 進行初始惡意軟體分析】
這可以說明檔案是 32 位元可執行文件。在此案例中，它事實上是一個Microsoft Cabinet 文件(CAB)。這本質上是.zip  可以作為.exe文件執行的。

![](https://hackmd.io/_uploads/HkGq9iZjn.png)

### 2. 【提取隱藏CAB後的其他文件】
能夠使用 7zip 提取內容，且在此過程中創建兩個新的 exe 文件。如圖所示，這些是si684017.exe在un007241.exe下面的螢幕截圖。

![](https://hackmd.io/_uploads/r1Q2joZi2.png)
- 重點在「si684017.exe」

### 3. 【分析文件是否藏有「加殼程式」】
如果懷疑含有packed的Payload，應專注於unpacking而不是字符串或其他靜態分析。
為了確定entropy區域，可以利用了 Detect-it-easy 中的 Entropy Graph 功能。

![](https://hackmd.io/_uploads/SyYEaiZj3.png)
 - 如上圖表示，file有著非常高的Entropy。這可以是一個指標，說明文件是一個packed loader，而不是最後的Payload。
 - 根據DIE檢測，此file是一個「常見」.exe文件，而不是.NET文件。下一步則是使用X32dgb繼續解壓縮文件。

### 4. 【使用 Ghidra Search For Strings 搜索特定字符串】

![](https://hackmd.io/_uploads/BJf8IUbs2.png)

### 5. 【過濾==】
經過搜尋以過濾==，很快地可以將結果範圍縮小到需識別的Base64字符串。雖然不是所有相關的字符串，但也是一個好的開始!

![](https://hackmd.io/_uploads/SyoILIZsh.png)

### 6. 【識別 Ghidra 中可能的字符串解密函數】


![](https://hackmd.io/_uploads/rkqyhP-i3.png)

![](https://hackmd.io/_uploads/HJtQ2wZo3.png)
![](https://hackmd.io/_uploads/S1rhTvbs2.png)
![](https://hackmd.io/_uploads/HkqrCIWjh.png)
![](https://hackmd.io/_uploads/By6D3DWjh.png)
![](https://hackmd.io/_uploads/H1fz-d-jh.png)



## A .net file 
- `rk728794.exe` is a file extracted from the malware. 
- It is a `.net` file according to DIE
![](https://hackmd.io/_uploads/Hy7AXgzo2.png)
### can we analyze this?
use **dnspy** to analyze
![](https://hackmd.io/_uploads/HkldulZjh.png)
important information is confused, so we try to use confuserEx Unpacker to unpack. 
![](https://hackmd.io/_uploads/Hkb0dgZih.png)


## **Tracing IP**
### **shodan**
- **YeezyHost Hosting:** 
    - 似乎是一個芬蘭的vps系統
- **ISP:** Daniil Yevchenko
    - 來自俄羅斯
### **Virustotal** 
![](https://hackmd.io/_uploads/HkSMNsWjn.png)