写在前面的话

近期，研究人员检测到了一个非常有趣的针对巴西银行的恶意软件活动。这款恶意软件名叫NovaLoader，采用Delphi开发，并且使用了Visual Basic Script（VBS）脚本语言来扩展其他功能。虽然最终的Payload不算新颖，而且也有很多研究人员已经研究过了，但我们这一次发现的多阶段Payload传播却是之前没有出现过的。

传播方法

在之前的样本中，这款恶意软件所采用的传播方法包括垃圾邮件、社工活动以及钓鱼网站等等。攻击者使用了各种参数和选项来确保恶意软件的传播，并尝试绕过安全防护产品的检测。一般来说，他们主要利用的都是热门的合法服务，比如说Dropbox、GitHub、Pastebin、AWS以及GitLab等等，而且还会使用类似No-IP和DynDNS等动态DNS服务。

根据研究人员的分析，NovaLoader在其感染链中使用了Autolt、PowerShell和Batch脚本，但这是我们首次发现它竟然还使用了VBS。除此之外，在此次攻击活动中，它还使用了加密脚本，而不像之前那样只是对脚本代码进行了混淆处理。

主Dropper

MD5：4ef89349a52f9fcf9a139736e236217e

这款恶意软件的主Dropper比较简单：它唯一的作用就是解密嵌入其中的VB脚本，并运行解密后的脚本：

第一阶段脚本

下图为嵌入脚本解密前和解密后的代码。

这个VBS文件将会解密一个URL地址(dwosgraumellsa[.]club/cabaco2.txt)，并下载另一个加密脚本，然后在该脚本解密后运行脚本：

第二阶段脚本

下载下来的VB脚本解密后的部分代码段如下所示：

VB脚本会向“http://54.95.36[.]242/contaw.php”发送一个GET请求，很可能是为了让远程C2服务器知道它已经成功在目标系统上运行了。接下来，它会尝试使用WMI查询并检测当前是否为虚拟机环境：

NovaLoader将会把下面这些可执行文件拷贝到目录“C:\\Users\\Public\\”中：

C:\\Windows\\(system32|SysWOW64)\\rundll32.exe
C:\\Windows\\(system32|SysWOW64)\\Magnification.dll

接下来，它会从以下地址下载一些依赖文件：

32atendimentodwosgraumell[.]club
32atendimentodwosgraumell[.]club/mi5a.php文件在解密之后会存储到“C:\Users\Public\{random}4.zip”。
32atendimentodwosgraumell[.]club/mi5a1.zip文件会存储为“C:\Users\Public\{random}1.zip”。
32atendimentodwosgraumell[.]club/mi5asq.zip文件的存储路径为“C:\Users\Public\{random}sq.zip”。

然后它会向“54.95.36.242/contaw{1-7}.php”发送多个GET请求：

GET/contaw.php
GET/contaw2.php?w={redacted}BIT-PC_Microsoft%20Windows%207%20Professional%20_True
GET/contaw3.php?w={redacted}BIT-PC
GET/contaw4.php?w={redacted}BIT-PC
GET/contaw5.php?w={redacted}BIT-PC
GET/contaw6.php?w={redacted}BIT-PC_2/1/2019%205:05:06%20PM
GET/contaw7.php?w={redacted}BIT-PC_2/1/2019%205:05:06%20PM_CD=414KbCD1=9160Kb_

除此之外，它还会向“C:\Users\Public\”目录存储多个恶意文件：

最后，它将会使用拷贝过来的rundll32.exe文件来解密DLL并导出功能函数：

第三阶段的Payload是一个DLL文件，它将作为最终阶段Payload的加载器。它通过rundll32.exe运行，主要功能就是解密和加载最终阶段的Payload。

最终Payload

最终阶段的Payload采用Delphi开发，并且包含用户凭证窃取（针对各大巴西银行）在内等多种功能。而且它还会监控浏览器窗口的标题，如果检测到了匹配的巴西银行名称，恶意软件将会控制目标系统并与恶意C2服务器建立连接，然后阻止用户访问真正的银行网银页面，并在后台进行恶意操作。

恶意软件所使用的部分命令如下：

恶意软件中跟银行有关的部分字符串如下：

入侵威胁指标IoC

MD5：

60e5f9fe1b778b4dc928f9d4067b470b
4ef89349a52f9fcf9a139736e236217e
100ff8b5eeed3fba85a1f64db319ff40
99471d4f03fb5ac5a409a79100cd9349
cb2ef5d8a227442d0156de82de526b30
a16273279d6fe8fa12f37c57345d42f7
ac4152492e9a2c4ed1ff359ee7e990d1
fdace867e070df4bf3bdb1ed0dbdb51c
4d5d1dfb84ef69f7c47c68e730ec1fb7
6bf65db5511b06749711235566a6b438
c5a573d622750973d90af054a09ab8dd
ef5f2fd7b0262a5aecc32e879890fb40
35803b81efc043691094534662e1351c
34340c9045d665b800fcdb8c265eebec
a71e09796fb9f8527afdfdd29c727787
5a9f779b9cb2b091c9c1eff32b1f9754
a7117788259030538601e8020035867e
cb9f95cec3debc96ddc1773f6c681d8c
 a7722ea1ca64fcd7b7ae2d7c86f13013

URL：

185[.]141[.]195[.]5/prt1.txt
185[.]141[.]195[.]81/prt3.txt
185[.]141[.]195[.]74/prt1.txt
dwosgraumellsa[.]club/cabaco2.txt
wn5zweb[.]online/works1.txt
23[.]94[.]243[.]101/vdb1.txt
167[.]114[.]31[.]95/gdo1.txt
 167[.]114[.]31[.]93/gdo1.txt 

*参考来源：zscaler，FB小编Alpha_h4ck编译，转载请注明来自FreeBuf.COM