鑽石舞台

詳細分析報告

近兩年蔓靈花的攻擊流程上並未有較大的變化，依舊以投遞惡意文檔文件（如公式編輯器漏洞文檔、chm文檔、宏文件等）作為主要的攻擊入口，而此類型的樣本也被多次分析，此處就不再多做贅述。

通過對蔓靈花的基礎設施進行分析，我們捕獲到多個由蔓靈花APT組織服務器下發的多個msi文件。在這些msi文件中，存在部分msi中包含vbs文件。vbs文件的功能多為重命名並執行一同被釋放的組件程序。值得注意的，蔓靈花在vbs文件中會通過「Explorer.exe」代理運行程序，並且在捕獲的多個vbs文件的下方均存在字符串「asdasdasdad」。

wmRAT

程序中對使用到的字符串數據進行了混淆，解混淆代碼如下：

調用 WSAStartup() 函數進行初始化,若初始化失敗，則重啟自身程序。

在成功連接之後，會將設備信息上傳到服務器。隨後創建兩個線程用於與服務器交互。

線程1每隔120秒會發送字符『X』到服務器。我們推測該線程應當是被用於通訊中的心跳檢測。

指令1

指令2

功能

0

F@ngS

打開一個文件流

lstcts

上傳設備信息

DXXXDXXX

發送本地磁盤信息到服務器

DEXDXXL

刪除指定路徑文件

Search

搜索文件，將文件信息發送至服務器

remoteControl

無功能

restart

重新啟動自身進程

2、3、4、7、9、10、13、14

無功能

1

向服務器提供遠程shell

5

關閉指令「F@ngS」中打開的文件流

6

接收文件數據，寫入指令「「F@ngS」打開的文件路徑中。

8

打開文件，並向服務器上傳數據，單次上傳字節0x2000

11

上傳文件數據（單次上傳0x2000字節及以下）

12

搜索指定路徑的文件/文件夾，將文件信息發送至服務器

15

搜索指定路徑的文件/文件夾，將文件名發送到服務器

42a41d16ff581152bd8d8a31e22f0ba9

cded64837038eb2fd13ca0e385fa082f

fd37560c80f934919f8f4592708045f3

1b73b3249ea689c17f9f798c48a9ce0c

d18002da03d005fbb51170a540945077

88bc0e6bf5526ad83470f637f5a166da

a1777bafc411797c86394a9f05cfd077

36a6a6c2bb1feb1a0f632b4e48dda0e3

42a41d16ff581152bd8d8a31e22f0ba9

06e9a301a7f5457a5794c425ff5cab61

71e1cfb5e5a515cea2c3537b78325abf

89df83297ed7eb8caca9a6ffd8b47dcd

1a220a49ef5add9bf65d8b1aee44b792

correntrollpanel.net

wizbizkidshow.biz

nymedsvcsystems.com

nesiallservice.net

kryoblockbind.net

lltdifslogsvc.net

Plprasvchost.net:59600

185.117.73.195:59600