Hơn nữa, mỗi module có cấu trúc chứa thông tin như: tên module; offset module trong bảng; kích thước module. Do chất lượng của mã và phần còn lại của các trường cấu trúc không được sử dụng nên các nhà nghiên cứu không thể xác định mục đích của các thành viên cấu trúc còn lại.

 

Tuy nhiên, ThreatLabz đánh giá rằng các thông tin sau cũng có thể được đưa vào như: dấu thời gian của module; tên nội bộ (ví dụ: “rLdr64” cho module “rshell”).

 

Từ các module được đề cập ở trên, phân tích của các nhà nghiên cứu tập trung vào “ti” và các module shellcode thiết bị chính, vì hai module này triển khai phần lớn chức năng chính cho HijackLoader.

 

Module “ti”

 

Các kỹ thuật chống phân tích cũng giống như được trình bày trong phần trước, nhưng có hai điểm khác biệt đáng chú ý:

 

Các nhà phát triển đã đưa vào kỹ thuật “Heaven’s gate” (tên thường gọi của một kỹ thuật cho phép binary 32-bit thực thi các lệnh 64-bit mà không cần tuân theo luồng xử lý chuẩn trên môi trường).

Danh sách chặn tiến trình vẫn giữ nguyên nhưng hành vi mã khác nhau.

Vai trò chính của module này là đưa module “Main instrumentation” vào, chịu trách nhiệm tải giai đoạn cuối cùng. Module “ti” thực hiện giai đoạn tiếp theo bằng cách sử dụng một trong các phương pháp sau:

 

Thực thi lại tệp ban đầu từ vị trí và tham số mới.

Tạo một tiến trình mới (được chỉ định trong cấu hình), ánh xạ tệp bị tấn công vào đó (ví dụ: “mshtml”) và chèn mã shellcode của module “Main instrumentation”. Ngoài ra (tùy thuộc vào cờ cấu hình), nó thực thi module “FIXED”, modul này có thể được sử dụng sau này để chèn mã.

HijackLoader có thể bao gồm một tập hợp tệp bổ sung, có thể được sử dụng để chiếm quyền điều khiển DLL. Trong trường hợp này, nó ghi chúng vào ổ đĩa cùng với payload được mã hóa (từ giai đoạn 1) và thực thi tệp thực thi bị tấn công.

Thực thi module “ESLDR” và đưa vào shellcode “Main instrumentation”.

 

Module “Main instrumentation”

 

Module này chứa chức năng chính để tải và thực thi giai đoạn cuối cùng của chuỗi lây nhiễm.

 

Các kỹ thuật chống phân tích vẫn được giữ nguyên với các giai đoạn nói trên. Tuy nhiên, một điểm khác biệt chính là việc triển khai module “AVDATA”. Module này chứa một tập hợp các tên tiến trình và nếu phát hiện bất kỳ tên nào trong số đó thì hành vi mã có thể thay đổi.

 

Tải trọng nhúng được giải mã bằng phép XOR theo bit với khóa được lấy từ 200 byte đầu tiên. Shellcode của HijackLoader sau đó tiến hành chèn hoặc thực thi trực tiếp payload được giải mã. Kỹ thuật mà shellcode sử dụng phụ thuộc vào một số yếu tố khác nhau, chẳng hạn như loại tệp của payload và cờ, được lưu trữ trong cài đặt và cho biết phương pháp chèn sẽ sử dụng.

 

KẾT LUẬN

 

HijackLoader là một trình tải module với các kỹ thuật lẩn tránh và chống phân tích, cung cấp nhiều tùy chọn tải cho các payload độc hại. Mức độ phổ biến ngày càng tăng của HijackLoader cho thấy các tác nhân đe dọa có thể ngày càng áp dụng nó trong việc triển khai tải các dòng phần mềm độc hại khác nhau. Vì thế, cá nhân người dùng cuối, các cơ quan, đơn vị cần phải luôn cảnh giác và cập nhật thường xuyên về các mối đe dọa nguy hiểm này, từ đó có phương án chủ động phòng tránh kịp thời.

 

Hồng Đạt

Theo nguồn Tạp chí An toàn thông tin