Giải mã các cuộc tấn công nhiều lớp với OPSWAT MetaDefender Sandbox 

Các MetaDefender Sandbox Engine luôn đi đầu trong việc phát hiện mối đe dọa, kết hợp liền mạch các kỹ thuật phân tích tĩnh và động để ngăn chặn ngay cả những cuộc tấn công tinh vi nhất.

• Phân tích cấu trúc sâu: đánh giá tệp tĩnh ban đầu cung cấp khả năng phát hiện sớm cho 50+ loại tệp được hỗ trợ và trích xuất nội dung hoạt động được nhúng để phân tích thêm.
• Phân tích nội dung động: kiểm tra và phân tích nội dung và ngữ cảnh từ email, trang web và tài liệu để phơi bày các hoạt động độc hại tiềm ẩn bao gồm các URL đáng ngờ. Đây là một biện pháp bảo vệ đặc biệt hữu ích chống lại các cuộc tấn công lừa đảo.
• Phân tích mối đe dọa thích ứng: phân tích động dựa trên mô phỏng duy trì quyền kiểm soát luồng thực thi của phần mềm độc hại, ngay cả khi nó được thiết kế để nhắm mục tiêu vào một môi trường cụ thể. Nó hỗ trợ các tệp Office, Portable Executables và các tập lệnh phổ biến nhất.

Mẫu được phân tích là tệp thực thi di động (PE) được biên dịch bằng Pyinstaller bí mật tải xuống Cobalt Strike stager PE từ máy chủ độc hại. Sau đó, stager PE giải mã đèn hiệu CS nhúng và đưa nó vào bộ nhớ, bắt đầu giao tiếp với C2. 

PyInstaller gói một ứng dụng Python và tất cả các phụ thuộc của nó vào một gói duy nhất, cho phép người dùng chạy ứng dụng mà không cần cài đặt trình thông dịch Python hoặc bất kỳ mô-đun nào, đây là một đề xuất hấp dẫn cho những người tạo phần mềm độc hại.  

Một phân tích tĩnh của tệp này sẽ chỉ mang lại nhiều tiếng ồn vô dụng thay vì tập trung vào hành vi độc hại của nó. MetaDefender Sandbox Giải nén và trích xuất các tệp bytecode (pyc) đã biên dịch và các thành phần lạ được nhúng được sử dụng bởi mã Python gốc. Sau đó, nó dịch ngược các tệp pyc để lấy mã python gốc, cho phép chúng tôi phát hiện các chỉ số mối đe dọa và trích xuất các IOC có giá trị cao. 

Pyinstaller cần một quy trình giải nén cụ thể không được hỗ trợ ngay cả bởi các trình lưu trữ tệp phổ biến nhất MetaDefender Sandbox hiện bao gồm tính năng giải nén python tích hợp, cũng hỗ trợ các trình biên dịch python phổ biến khác như Nuitka và Py2exe. 

Tính năng mới này giúp chúng tôi bỏ qua lớp đóng gói đầu tiên này và tiếp tục phân tích các tệp đã giải nén. 

Dịch ngược các tệp python cho chúng ta thấy phần mềm độc hại này tải xuống tệp PE (CS stager) từ một URL độc hại. Sau đó, nó chạy CS stager và loại bỏ nó khỏi đĩa để loại bỏ các IOC tiềm năng. Ngoài ra, một thông báo Windows giả mạo bật lên để đánh lừa người dùng tin rằng đã xảy ra lỗi. 

MetaDefender Sandbox trích xuất URL độc hại và tải xuống stager để phân tích thêm. 

PE đã tải xuống (cs.exe) là một stager giải mã tệp PE thứ hai, giải mã đèn hiệu CS và đưa nó vào bộ nhớ. Có rất nhiều kỹ thuật mà CS sử dụng để ẩn đèn hiệu và làm cho việc phát hiện nó khó khăn hơn. MetaDefender Sandbox có thể tĩnh theo dõi luồng thực thi của nó cho đến khi nó đạt đến đèn hiệu CS và trích xuất cấu hình của nó. 

CS stager ẩn tệp PE được mã hóa XOR trong phần .data của nó. PE thứ hai này tương ứng với tệp DLL, có thể nhận dạng thông qua tiêu đề DLL nổi tiếng (MZARUH) là khởi đầu của sơ khai bộ tải phản chiếu mặc định cho đèn hiệu CS. Điều đó có nghĩa là PE ban đầu sẽ chịu trách nhiệm phân bổ và sao chép DLL của bộ tải phản chiếu trong bộ nhớ, phân tích cú pháp và phân giải địa chỉ hàm nhập và thực hiện điểm vào của DLL. Cuối cùng, bộ tải phản chiếu sẽ giải mã và chạy đèn hiệu CS trong bộ nhớ. 

Phân tích kỹ thuật này của CS nêu bật sự phức tạp và chiều sâu của các mối đe dọa mạng hiện tại và chứng minh MetaDefender SandboxCông cụ mối đe dọa tiên tiến, mạnh mẽ của nó phân tích hiệu quả các cuộc tấn công nhiều lớp với tốc độ vượt trội.  

Tính năng giải nén và dịch ngược Python cho phép phân tích sâu hơn, cần thiết để tiết lộ bản chất thực sự của chương trình độc hại. Chúng tôi đã thấy cách giải nén đã kích hoạt các hành động bổ sung dẫn đến việc phát hiện và trích xuất cấu hình CS. 

Việc giải nén cấu hình phần mềm độc hại luôn tiết lộ các IOC có giá trị và cho phép xác định phần mềm độc hại chính xác. Đội ngũ phân tích phần mềm độc hại tận tâm của chúng tôi liên tục mở rộng phạm vi các họ phần mềm độc hại được hỗ trợ, đảm bảo phạm vi bảo hiểm toàn diện và cho phép phát hiện nhanh chóng các mối đe dọa mới nổi.