Scribd Logo
Hochladen

Willkommen bei Scribd!

  • Recon MTL 2017 Crypton

    Hochgeladen von

    paul
    20 Ansichten63 Seiten
    Recon Mtl 2017 Crypton

    Originaltitel

    Recon Mtl 2017 Crypton

    Copyright

    © © All Rights Reserved

    Verfügbare Formate

    PDF, TXT oder online auf Scribd lesen

    Stufen Sie dieses Dokument als nützlich ein?

    Sind diese Inhalte unangemessen?

    Dieses Dokument melden
    Recon Mtl 2017 Crypton

    Copyright:

    © All Rights Reserved
    Als PDF, TXT herunterladen oder online auf Scribd lesen
    Markieren Sie unangemessene Inhalte
    20 Ansichten63 Seiten

    Recon MTL 2017 Crypton

    Hochgeladen von

    paul
    Recon Mtl 2017 Crypton

    Copyright:

    © All Rights Reserved
    Als PDF, TXT herunterladen oder online auf Scribd lesen
    Markieren Sie unangemessene Inhalte
    von 63

    From Tinbas webinjects configuration

    Login Page

    Client Side Server


    Side

    BROWSER
    BANK

    C&C SERVER
    From Trickbots redirects configuration

    Malware specific
    decryption script

    Malware Configuration

    Sandboxed
    Automation

    stored
    encryption stages
    custom crypto
    encryption key

    frequently



    AES RC4

    AES RC4
    The idea:
    Find loops with mathematical operations
    .
    .
    ..

    XOR

    .
    .





    1.

    2.

    3.

    RWX
    .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    RW
    .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    Hash: 1c43d2aa92.. RW
    RWX Hash: 3c6a240d6..
    RW
    .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    Hash: 1c43d2aa92..
    Hash: 1c43d2aa92.. RW
    RWX
    Hash: 3c6a240d6..
    RW
    . Hash: 2c5023a24..
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    Hash: 1c43d2aa92..
    Hash: 1c43d2aa92.. RW
    RWX
    Hash: 3c6a240d6..
    PLAINTEXT ?
    . Hash: 2c5023a24..
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    CONFIG !
    .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    injects injects injects
    Svchost.exe Explorer.exe
    RW
    RWX RW

    XOR

    NtResumeThread hook

    Svchost

    0x400000
    packer
    Allocation

    Unpacking 0x3c0000 Malware


    payload Allocations
    Allocation

    0x600000
    final Allocation
    payload


    RWX

    VirtualAlloc

    JMP EAX

    2017 F5 Networks
    RWX
    RWX

    VirtualAlloc

    JMP EAX

    2017 F5 Networks
    RWX
    RWX

    VirtualAlloc

    JMP EAX

    2017 F5 Networks
    RWX
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RWX
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    RW
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    Hash: 1c43d2aa92.. RW
    RWX
    Hash: 3c6a240d6..
    RW
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    Hash: 1c43d2aa92..
    Hash: 1c43d2aa92.. RW
    RWX
    Hash: 3c6a240d6..
    RW
    RWX . Hash: 2c5023a24..
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX
    CONFIG
    RWX .
    .
    VirtualAlloc
    .
    .
    VirtualAlloc
    .
    XOR
    .
    .
    VirtualAlloc

    2017 F5 Networks
    RW
    RWX RW

    XOR

    NtResumeThread hook

    Svchost


    @s0lid_dr4g0n @___ignis
    CryptoHunt
    https://code.google.com/p/kerckhoffs/
    findcrypt2-with-mmx
    FindCrypt
    http://www.recon.cx/2012/schedule/events/208.en.html
    Finding and Extracting Crypto Routines from Malware

    Das könnte Ihnen auch gefallen