# TeamT5 2023 第三組

###### tags: `TeamT5`

[TOC]

<!--
- 惡意程式
- 檔案資訊
- 執行流程
- 通訊協定
- 加解密演算法
- 後門功能
- 常駐方式
- 中繼站
- 基本資訊
- 關連資訊
- 威脅情資
- 攻擊者
- 攻擊時間
- 受害者
- 其他發現

-->

## 5e4cb0cc51202cef27c4f5da63362ceee8c29a03e61ac19efda3c137b657d9ef

- Time stamp
- 1992-06-19 15:22:17

- IDA Pro
1. Software/Borland/Delphi/
- RTL
- FPUMaskValue是Borland Delphi使用註冊表的方法
- locales
- 是用在LOAD DLL用的地方，但確實沒有那麼單純[Source](https://www.oreilly.com/library/view/delphi-in-a/1565926595/re166.html)
- 如果當前目錄下沒有我們要的DLL，他會去找這些registry key value去看有沒有相關的值，如果有就會去讀對應的位置
2. Mikrotik/winbox
- google
- Addresses.cdb
3. username/passwd
- Email
- IMAP/POP3
- base64做壓縮傳送
4. Winscp
- Winscp的session
5. 神秘的hash
回追ida可以看到跟一些阿里布達的東西一起被使用
蠻有趣的是他call好像都是call 相關的offset

6. VNC

7. 傳輸方式
也可以透過靜態去看
他的socket number是6也就是TCP

8. multicache
> 每次您開始使用新的應用程序時，Windows 操作系統都會自動從 exe 文件的版本資源中提取應用程序名稱，並將其存儲在稱為“MuiCache”的註冊表項中以備後用。 對於 XP，這是指註冊表項 HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache。

8. main function

可以看到他會先去call Adodb:TAD0Command為ActiveX Data Objects
- 超老舊的command controller
- 再往裡面追

rule amadeyv1{
	strings:
		$hash = "6c1c64cbab800abc258d14d786b8581c"
		$mulcache = "Local Settings\\Software\\Microsoft\\Windows\\Shell\\MuiCache"
		$htons = {6A 50 E8 1A 2D FF FF}
		$sessions = "Software\\Martin Prikryl\\WinSCP 2\\Sessions"
		$ActiveX = {8D 45 FC E8 7D FE FF FF}
	condition:
		all of them
}

## c98c6cce1f6d5d8428978db579c7a281de9546412515c9e8f9714659c33b31c8

- virustotal
- [Source](https://www.virustotal.com/gui/file/c98c6cce1f6d5d8428978db579c7a281de9546412515c9e8f9714659c33b31c8/community)

- Time stamp
- 2022-03-09 18:40:02

- Anyrun
- Process

- network
- http request
- connections

- files




## 05847bf9a320e87d373b870a41aba44a977e0e8bbb170cb928d1b906fdc22b01
- Time stamp
- 2022-03-20 05:11:25

- 2022-03-20 20:11:25
- 不知道為什麼 Time stamp不一樣，應該是時區的問題

- [Anyrun](https://app.any.run/tasks/fb2cd82e-719d-4b8f-90b6-37773d0c5939/)
- process
- http request
- network
- files

- Name
- `gntuud.exe` by VT
- 似乎不是有意義的英文或外文
- Weird icon
- DIE
- Strings
- 奇怪的字串，似乎不是有意義的英文或外文
- PDB 位置
`C:\regew tuvuzocavobef\90\kovururapisu.pdb`

- IDA Pro
1. 執行存在 PE 中的第一階段 shellcode。
2. 第一階段 shellcode 取得 Win API。
3. 第一階段 shellcode 執行第二階段 shellcode。
4. 第二階段 shellcode 的 memory map 中包含另一個 PE [`37de71b43236c63687b44f238a17cde5f16bea2b2ec8c29b0ea42b62de947d6d`](https://www.virustotal.com/gui/file/37de71b43236c63687b44f238a17cde5f16bea2b2ec8c29b0ea42b62de947d6d/relations)。
5. 第二個 PE 中可以看到惡意程式家族名稱 `Amadey` 字串。
- 第二個 PE 的 process tree
- Contact URL: `http://62.204.41.79/fb73jc3/index.php`
- `pc`: Computer Name
- `un`: User Name
6. 第二個 PE 會將自己寫到 `C:\Users\<user>\AppData\Local\Temp\2c33368f7d\gntuud.exe`

- wireshark

- C2 = 62.204.41.79

- Persistence
- Overwrite the Startup folder of registry `HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\USer Shell Folders\Startup`
- Run itself every minute

        "C:\Windows\System32\schtasks.exe" /Create /SC MINUTE /MO 1 /TN gntuud.exe /TR "C:\Users\admin\AppData\Local\Temp\2c33368f7d\gntuud.exe" /F

- 外部報告：https://www.joesandbox.com/analysis/767840/0/html

rule amadeyv2{
	strings:
		$filename = {68 ?? 25 40 00}
		$createjobname = {68 E0 26 40 00 56 FF 15 08 10 40 00}
	condition:
		all of them
}

## Amadey
- Amadey 是一個殭屍網路 (botnet)，於 2018 年 10 月左右首次被發現，並在一個俄羅斯的駭客論壇上，被以 500 美元左右的價格賣出

- 它會定期向 C2 server 發送有關系統和安裝防毒軟體的訊息，並接受來自 C2 server 的請求

- 主要功能是從受感染的主機中搜集敏感資料，並進一步執行網路偵查、資料洩漏和載入 payloads

- 可以偵測多種類型的防毒軟體，搜集相關資訊

- ATT&CK ID : S1025
- Attack group : TA505
- 主要攻擊平台：Windows

- 攻擊對象：非俄羅斯的所有用戶（Amadey 可以知道受害主機的 IP，如果發現該主機在俄羅斯，它就不會進行下一步的動作或安裝額外的惡意程式）
https://blogs.blackberry.com/en/2020/01/threat-spotlight-amadey-bot

- 曾經變形
- 通訊軟體(Ex：KakaoTalk)
- Word 文字檔 (Ex：LockBit)