標題：NullMixer：迄今為止投放最多惡意軟件的投放程序

https://hacker.bz/t/entry/15646-%E6%A8%99%E9%A1%8C%EF%BC%9Anullmixer%EF%BC%9A%E8%BF%84%E4%BB%8A%E7%82%BA%E6%AD%A2%E6%8A%95%E6%94%BE%E6%9C%80%E5%A4%9A%E6%83%A1%E6%84%8F%E8%BB%9F%E4%BB%B6%E7%9A%84%E6%8A%95%E6%94%BE%E7%A8%8B%E5%BA%8F/

Followers

NullMixer 是導致各種惡意軟件家族感染鏈的投放程序，它通過惡意網站傳播，這些網站主要可以通過搜索引擎找到。這些網站通常與非法下載軟件的破解、註冊機和激活程序有關，雖然它們可能偽裝成合法軟件，但實際上包含一個惡意軟件投放程序。

看起來這些網站正在使用SEO 來提高其搜索排名，從而在互聯網上搜索“crack”和“keygen”時很容易找到它們。當用戶嘗試從其中一個網站下載軟件時，他們會被多次重定向，並最終進入一個包含下載說明和偽裝成所需軟件的受密碼保護的壓縮文件惡意軟件的頁面。當用戶提取並執行NullMixer 時，它會將許多惡意軟件文件投放到受感染的計算機上。這些惡意軟件家族可能包括後門、銀行木馬、憑證竊取程序等。例如，NullMixer 投放了以下惡意軟件：SmokeLoader/Smoke、LgoogLoader、Disbuk、RedLine、Fabookie、ColdStealer。

初始感染NullMixer 的感染媒介基於一個“用戶執行”惡意鏈接，該鏈接要求最終用戶點擊並下載受密碼保護的ZIP/RAR 壓縮文件，其中包含手動提取和執行的惡意文件。

NullMixer的整個感染鏈如下：

用戶訪問網站以下載破解軟件、註冊機或激活程序。該活動似乎針對任何希望下載破解軟件的人，並使用SEO 技術使這些惡意網站在搜索引擎結果中更加突出。

谷歌搜索引擎搜索結果中“破解軟件”的頂部包含提供NullMixer的惡意網站

用戶點擊所需軟件的下載鏈接；

該鏈接將用戶重定向到另一個惡意網站；

惡意網站將用戶重定向到第三方IP 地址網頁；

該網頁指示用戶從文件共享網站下載受密碼保護的ZIP 文件。

惡意軟件執行指令

用戶提取帶有密碼的壓縮文件；

用戶運行安裝程序並執行惡意軟件。

NullMixer 感染鏈執行示例

NullMixer 介紹NullMixer是一個投放程序，它包含的不僅僅是特定的惡意軟件家族，也會投放各種惡意二進製文件來感染計算機，比如後門程序、銀行程序、下載程序、間諜軟件和許多其他程序。

NullMixer 執行鏈當用戶從下載的受密碼保護的壓縮文件中提取“win-setup-i864.exe”文件並運行它時，感染就開始了。 “win-setup-i864.exe”文件是一個NSIS（Nullsoft Scriptable Install System）安裝程序，是很多軟件開發者使用的非常流行的安裝工具。在本文的示例中，它投放並啟動了另一個文件“setup_installer.exe”，這實際上是一個包含在Windows 可執行文件中的SFX 壓縮文件“7z Setup SFX”。 “setup_installer.exe”文件投放了數十個惡意文件。但它沒有啟動它們，而是啟動了一個可執行文件setup_install.exe，這是一個NullMixer啟動程序組件。 NullMixer 的啟動程序啟動所有投放的可執行文件。為此，它包含一個硬編碼文件名列表，並使用“cmd.exe”逐個啟動它們。

硬編碼到NullMixer啟動程序組件的文件列表

NullMixer 執行鏈

它還嘗試使用以下命令行更改Windows Defender 設置。

在啟動所有已投放的文件後，NullMixer 啟動程序會立即向CC 發送關於安裝成功的信標。此時，所有被投放和啟動的惡意文件都留在了它們自己的設備中。很快就可以識別由NullMixer惡意軟件傳播的各種惡意二進製文件。

NullMixer 和它投放的惡意軟件家族

由於投放的惡意軟件家族數量非常大，本文只對每個家族進行簡要描述。

SmokeLoaderSmokeLoader（又名Smoke）是一種模塊化惡意軟件，自2011 年以來就廣為人知，通過網絡釣魚電子郵件和偷渡式下載(drive-bydownload)分發。多年來，它通過附加模塊不斷擴展其功能。例如，添加禁用Windows Defender 和反分析技術。

與使用硬編碼靜態URL 下載惡意文件的最簡單下載程序相比，SmokeLoader 用CC 通信以接收和執行下載任務。

RedLine StealerRedLine Stealer 自2020 年初就為人所知，並一直持續到2021 年。眾所周知，該惡意軟件在網絡論壇上出售，並通過釣魚郵件傳播。

另一種傳播RedLine Stealer的新方法是誘使Windows 10用戶獲得虛假的Windows 11升級。當用戶下載並執行二進製文件時，他們實際上是在運行惡意軟件。

RedLine的主要目的是從瀏覽器中竊取證書和信息，此外還從受感染的計算機上竊取信用卡詳細信息和加密貨幣錢包。此外，該惡意軟件還收集有關係統的信息，例如：用戶名、硬件詳細信息和已安裝的安全應用程序。

PseudoManuscryptPseudoManuscrypt 自2021 年6 月以來就廣為人知，並用作MaaS（惡意軟件即服務）。 PseudoManuscrypt並不針對特定的公司或行業，但據觀察，工業和政府組織，包括軍工複合體和研究實驗室的企業，是最嚴重的受害者。

該惡意軟件通過Glupteba等其他殭屍網絡傳播。 PseudoManuscrypt的的主要目的是通過從Firefox、谷歌Chrome、Microsoft Edge、Opera和Yandex瀏覽器中竊取cookie，通過使用ClipBanker插件進行鍵盤記錄和竊取加密貨幣來監視受害者。惡意軟件的一個顯著特徵是使用KCP協議下載額外的插件。

ColdStealerColdStealer 是一個相對較新的惡意程序，於2022 年被發現。與許多其他竊取程序一樣，它的主要目的是從Web 瀏覽器竊取憑據和信息，此外還竊取加密貨幣錢包、FTP 憑據、各種文件和有關係統的信息，例如操作系統版本、系統語言、處理程序類型和剪貼板數據。將被盜信息傳遞給攻擊者的唯一已知方法是將ZIP 壓縮文件發送到嵌入式控制中心。

ColdStealer Main() 函數

FormatLoaderFormatLoader 是一個下載程序，因為使用硬編碼的url作為格式字符串而得名，它需要填寫一個數字來獲取下載附加二進製文件的鏈接。可用的數字範圍也是硬編碼的。

FormatLoader 的主要目的是通過將二進製文件下載到受感染的計算機上來用額外的惡意文件感染計算機。為此，惡意軟件將硬編碼範圍中的數字逐個添加到硬編碼格式字符串中，並訪問下載鏈接。

此外，FormatLoader 使用第三方網站服務來跟踪受感染的計算機。它將“GET”請求發送到IP 記錄程序服務的特定URL，該服務收集IP 地址和基於IP 的地理位置等信息。

CsdiMonetize眾所周知，CsdiMonetize 是一個廣告平台，用於在感染用戶計算機後以按安裝付費的方式安裝許多不同的PUA（潛在不需要的應用程序）。後來，CsdiMoneitze 不僅用PUA 感染他們的受害者，還開始用真正的木馬感染他們的受害者，比如Glupteba 惡意軟件。

如今，CsdiMonetize 使用其他惡意軟件家族類型感染其受害者，例如：Fabookie、Disbuk、PseudoManuscrypt 等。

Csdi 執行鏈

感染從NSIS 安裝程序“61f665303c295_Sun1059d492746c.exe”開始，它會下載Csdi 安裝程序“MSEkni.exe”。 Csdi 安裝程序從CC 請求當前配置以及要安裝的其他Csdi 組件列表。配置以加密和base64 編碼的形式存儲在多個註冊表項中。下一步是下載其他組件，最值得注意的是發布者和更新程序組件。 Csdi 發布者組件負責通過使用URL 作為命令行參數啟動瀏覽器來顯示廣告。更新程序組件負責按安裝付費服務。它接收來自CC 的URL 列表以及有關如何投放和執行下載文件的說明。

Disbuk眾所周知，Disbuk（又名Socelar）將自己偽裝成合法的應用程序，例如PDF 編輯程序軟件。

該惡意軟件主要針對Facebook廣告，並通過訪問瀏覽器的SQLite數據庫從Chrome和Firefox盜取Facebook會話cookie。在檢索這些信息後，惡意軟件試圖提取額外的信息，惡意軟件會嘗試提取訪問令牌、帳戶ID 等附加信息。經過進一步發展，Disbuk 也開始檢索Amazon cookie。

除了竊取數據，Disbuk 還安裝了一個偽裝成谷歌翻譯擴展的惡意瀏覽器擴展。

FabookieFabookie 是另一個針對Facebook 廣告的竊取程序。它的功能類似於Disbuk 惡意軟件，包括從瀏覽器中竊取Facebook 會話cookie，使用Facebook Graph API 查詢來接收有關用戶帳戶、關聯支付方式、餘額、朋友等額外信息。被盜的憑據稍後可用於運行來自受感染帳戶的廣告。

與Disbuk 不同的是，該惡意軟件不包含內置的惡意瀏覽器擴展，但包含兩個嵌入式NirSoft 實用程序“Chrome Cookies View”和“Web Browser Password Viewer”，用於從瀏覽器中提取數據。

DanaBotDanaBot 是一種用Delphi 編寫的銀行木馬，它通過電子郵件網絡釣魚進行傳播，自2018 年被發現以來一直在迭代。

DanaBot 是一種模塊化惡意軟件，包括各種附加模塊，這些模塊最流行的功能是從受感染的計算機中竊取信息，並將虛假表格注入流行的電子商務和社交媒體網站以收集支付數據。它還可以通過遠程桌面提供對受感染系統的完全訪問，或通過使用VNC 插件訪問鼠標和鍵盤。

RacealerRacealer（又名RaccoonStealer）是一種竊取型惡意軟件，主要從受感染的計算機中竊取用戶憑據並洩露數據。

自2019 年被發現以來，Racoon 也經過了多次迭代。例如，它現在使用Telegram 來檢索CC IP 地址和惡意軟件配置。現在，它還可以從惡意軟件的CC 下載其他模塊，這些模塊也用於提取憑據。

Generic.ClipBankerGeneric.ClipBanker 是一種剪貼板劫持者惡意軟件，它監控受感染計算機的剪貼板，並專門搜索加密貨幣地址以替換它們。當用戶複製加密貨幣錢包的地址時，惡意軟件會將錢包地址替換為他們自己的加密貨幣錢包地址，因此最終用戶會將加密貨幣（例如比特幣）發送給他們，而不是發送到預期的錢包地址。

使用來自Generic.ClipBanker 二進製文件的加密貨幣地址進行篩選

SgnitLoaderSgnitLoader 是一個用C# 編寫的小型木馬下載程序，二進制大小約為15 KB。但是，原始文件是用Obsidium 打包的，這使得二進製文件的大小增長到400 多字節。

SgnitLoader 在其二進製文件中包含一些硬編碼的域，它會附加路徑並添加一個從1 到7 的數字。與FormatLoader 惡意軟件不同，它不使用格式字符串，而只是在末尾添加一個數字字符串以獲取完整的URL。

下載和執行過程完成後，SgnitLoader 通過“GET”請求ping 回CC。原始的pingback URL隱藏在' iplogger.org ' URL縮短服務中。

ShortLoader另一個用c#編寫的小型木馬下載程序。它的二進製文件是sgitloader大小的一半。它的主要功能代碼相當短，它使用“IP Logger”URL縮短服務來隱藏它下載有效負載的原始URL。這就是為什麼它被稱為ShortLoader。

ShortLoader Main() 函數

Downloader.INNO原始文件是利用“Inno Download Plugin”下載功能的“Inno Setup”安裝程序。

該安裝腳本被編程為從URL ' http://onlinehueplet[.]com/77_1.exe '下載一個文件，將其作為' dllhostwin.exe '放置到' %TEMP% '目錄中，並使用字符串' 77 '作為參數執行它。

Inno Setup 安裝腳本的一部分

下載的文件屬於Satacom Trojan-Downloader 家族。然而，在研究過程中，研究人員發現該文件在服務程序上被替換為合法的PuTTY 軟件（一種流行的SSH 客戶端）。

LgoogLoader該文件是另一個使用Microsoft Cabinet壓縮文件格式的軟件安裝程序。執行後，它會投放三個文件：一個批處理文件、一個帶有剝離的可執行文件標頭的AutoIt 解釋程序和一個AutoIt 腳本。然後它使用“cmd.exe”執行批處理文件。批處理文件的任務是恢復AutoIt 解釋程序可執行文件，並使用AutoIt 腳本的路徑作為命令行參數啟動它。

AutoIt 腳本執行一些AntiVM 和AntiDebug 檢查。如果所有檢查都成功，那麼它會再次啟動AutoIt 解釋程序，解密並解壓嵌入的可執行文件並將其註入新創建的進程。注入的可執行文件是LgoogLoader。

LgoogLoader是一個木馬下載程序，它從硬編碼的靜態URL下載加密的配置文件。然後對配置進行解密，從中提取額外的url，下載並執行最終的有效負載。它被稱為LgoogLoader，因為它使用了來自“谷歌隱私政策”的字符串。

LgoogLoader 二進製文件中的Google 隱私政策字符串

Downloader.Bitser原始文件是一個試圖安裝PUA: Lightening Media Player的NSIS安裝程序。該文件由csdimonealize的更新程序組件(MD5: 98f0556a846f223352da516af66fa1a0)下載。然而，安裝腳本不僅被配置為設置lighightmedia Player，還被配置為運行內置的Windows實用程序“bitsadmin”來下載額外的文件，這就是我們將其稱為Bitser的原因。在本文的示例中，該實用程序在NSIS 安裝程序的安裝腳本中使用，並用於下載受7z 密碼保護的壓縮文件。 7z 壓縮文件的密碼以及解包和執行說明也被硬編碼到安裝腳本中。