流行恶意加载器家族专题系列分析一丨XLoader加载器

为了实现恶意功能，XLoader加载器将从多个方向提高自己的生存能力。其中XLoader通过加密技术将自己的重要数据与核心代码进行加密，以防止静态分析及内存dump。并通过大量的环境检测代码，防止自身在分析环境中运行，实现反调试的目的。XLoader加载器还通过反挂钩技术进一步防止自身API调用被挂钩，进一步降低自身被监控的风险。最后通过注入技术，既能隐藏自身进程，又能进入目标程序地址空间执行恶意逻辑，实施恶意行为。并通过修改注册表进行持久化，达成生存的目的。

3.1 加密技术分析

XLoader加载器中的数据都使用了一个关键的RC4密钥用作加密。其中XLoader加载器使用了用于导入函数的哈希表的sha1作为加密该RC4密钥的一环，以确保哈希表未被篡改。

图3‑1 XLoader解密RC4密钥

为了增强加密的程度，XLoader加载器使用了一种特殊的方式保存数据。XLoader加载器会在数据之间掺杂无用的字节，在读取时根据读取到的字节值选择丢弃和保留字节的数量。

图3‑2 XLoader读取数据

在解密时，XLoader加载器会通过差分，RC4解密再差分的方式，进行解密运算，以增加加密函数的复杂度。

图3‑3 XLoader的加密算法

对于C2地址，XLoader加载器有额外的加密。在解密后的字符串表中，C2地址表现为base64编码的格式。XLoader会在运行时base64解码并再次通过差分和RC4算法进行解密。

对于加密C2所用的RC4密钥，XLoader加载器使用异或的方式对其进行加密。

图3‑4 XLoader解密C2 RC4密钥

为了增加分析难度，XLoader加载器将C2的RC4密钥与异或密钥分散在不同的函数中进行加密，用于异或的密钥可以在构造XLoader XLNG数据的函数中找到。

图3‑5 XLoader初始化解密C2 RC4的异或密钥

对于代码，XLoader加载器使用了双重RC4密钥加密。为了增加逆向难度，XLoader 加载器会将两次解密分散在程序不同位置。为了增加密钥和加密代码块提取难度，XLoader加载器在运行时动态计算加密代码块的起止特征值和密钥，以防止自动化提取。

图3‑6 XLoader解密代码块

为了防止内存dump，XLoader加载器会在函数使用结束后对代码重新进行加密。

图3‑7 XLoader函数使用结束后重新对其加密

3.2 反调试技术分析

XLoader加载器会从多方面检测运行环境以判断是否继续执行，其中检测内容包括：DLL名称、DLL路径、调试端口、内核调试信息、WOW32Reserved是否被hook、运行中的进程名称、自身镜像名称和用户名。

XLoader加载器会通过NtQueryInformationProcess检测是否被调试。

图3‑8 XLoader检测进程是否被调试

XLoader加载器通过NtQuerySystemInformation发现内核调试器。

图3‑9 XLoader检测是否有内核调试器

XLoader加载器会检测WOW32Reserved所在的Wow64cpu.dll是否为64位，如果为64位则说明当前环境可能存在API hook，XLoader会停止运行。

图3‑10 XLoader检测Wow64cpu.dll是否被修改

XLoader加载器会寻找是否加载了sbiedll.dll以判断是否在Sandboxie沙箱中运行。

图3‑11 XLoader通过遍历PEB寻找DLL

XLoader加载器检查DLL路径以判断是否在Cuckoo和SandCastle等沙箱中运行。

图3‑12 XLoader通过检查DLL判断是否在沙箱中运行

XLoader加载器会检测自身的进程名称，如果进程名称满足特定的哈希值，或者其长度大于31且不包含空格，则会停止运行。

图3‑13 XLoader检测进程名

XLoader加载器会通过检测用户名判断是否在沙箱中运行。

图3‑14 XLoader检测用户名是否在黑名单中

其中XLoader加载器具体的环境检测列表如下。

5.2 XLoader加载阶段

XLoader加载器使用了NSIS进行打包。NSIS（Nullsoft Scriptable Install System）是一个开源的Windows系统下安装程序制作程序，该NSIS安装程序会释放一个加载器用于解密并运行XLoader。

该加载器会解密并运行一段shellcode，该shellcode通过EnumSystemCodePagesA的回调函数运行。

该shellcode会进一步解密XLoader，并通过进程镂空的方式运行。

5.3 XLoader加载器第一阶段

在第一阶段，XLoader加载器的主要逻辑代码被全部加密，在解密后执行XLoader加载器第一阶段主要逻辑。XLoader加载器第一阶段主要用于检测执行环境并注入执行第二阶段代码。

XLoader加载器会通过NtQueryInformationProcess检测进程是否被调试。

XLoader加载器会通过NtQuerySystemInformation检测是否具有内核调试器。

XLoader加载器会通过检测Wow64cpu.dll是否为32位来检测是否被hook。

XLoader加载器检测加载的DLL列表。

当XLoader加载器获取到创建的子进程后，XLoader会通过进程镂空的方式加载二阶段逻辑。

此外，XLoader加载器同时通过设置环境变量和写内存参数的方式向子进程传递父进程路径信息，以便后续在子进程中移动自身位置。

5.4 XLoader加载器第二阶段

XLoader加载器会收集系统信息并上传到C2服务器。

其中受影响的程序如下：

在XLoader加载器第二阶段，还可以接受并执行C2指令。

图5‑26 XLoader执行C2指令

图5‑27 XLoader注入到exploere.exe执行第三阶段逻辑

5.5 XLoader加载器第三阶段

在第三阶段的初始化，XLoader加载器并不会像前两个阶段一样检查运行环境，而只会加载运行中所必要的信息，XLoader加载器初始化结束后会检测当前所注入的程序。

图5‑28 XLoader检测当前所注入的程序

图5‑29 XLoader窃取剪贴板信息

图7‑1 技术特点对应ATT&CK的映射

具体ATT&CK技术行为描述表：

表7.1 ATT&CK技术行为描述表

ATT&CK阶段/类别	具体行为	注释
初始访问	网络钓鱼	XLoader通过钓鱼邮件实现初始访问
执行	利用API	XLoader依赖进程镂空与APC注入执行不同阶段载荷
持久化	利用自动启动执行引导或登录	XLoader通过修改注册表实现持久化的目的
提权	操纵访问令牌	XLoader通过AdjustTokenPrivilege函数获取SeDebugPrivilege权限
防御规避	规避调试器	XLoader检测WOW32Reserved是否被hook
		XLoader通过NtQuerySystemInformation检测是否有内核级别调试器及调试端口
		XLoader检测是否有进程/模块/用户名与黑名单匹配
	删除信标	XLoader会抹除注入程序的PE头信息以避免检测
		XLoader会将初始访问所用的文件删除
		XLoader在远控功能中可以被卸载
	混淆文件或信息	XLoader大部分代码和数据需要多次差分和RC4进行解密
		XLoader通过计算函数哈希动态载入API
		XLoader重要数据需要通过一种复杂的方式进行读取以丢弃其中的无用字节
		XLoader在函数使用结束后会重新对其进行加密
		XLoader解密代码与数据块的密钥被异或加密
凭证访问	从存储密码的位置获取凭证	XLoader会获取多种浏览器、邮件客户端以及Windows Credentials Vault中的密码
发现	发现应用程序窗口	XLoader会记录被hook程序的窗口信息
	发现系统信息	XLoader会收集系统版本信息
	发现系统地理位置	XLoader会根据系统地理位置决定是否运行
	发现系统所有者/用户	XLoader会获取用户名并上传到C2服务器
收集	自动收集	XLoader会通过hook的方式收集程序发送出的TCP及HTTP流量
	收集剪贴板数据	XLoader通过GetClipboardData函数收集剪贴板数据
	输入捕捉	XLoader会hook窗口消息函数以捕获键盘输入
	屏幕捕获	XLoader会截屏并回传到C2服务器
命令与控制	使用应用层协议	XLoader用HTTP协议与C2服务器通信
	编码数据	XLoader会将消息进行RC4+base64加密
数据渗出	使用C2信道回传	XLoader使用C2相同信道回传窃密信息
影响	系统关机/重启	XLoader可以关闭/重启计算机

建议企业用户部署专业的终端安全防护产品，对本地新增和启动文件进行实时检测，并周期性进行网内病毒扫描。安天智甲终端安全系列产品（以下简称“智甲”）依托安天自研威胁检测引擎和内核级主动防御能力，可以有效查杀本次发现病毒样本。

智甲可对本地磁盘进行实时监测，对新增文件自动化进行病毒检测，对发现病毒可在其落地时第一时间发送告警并进行处置，避免恶意代码启动。

图8‑1 发现病毒时，智甲第一时间捕获并发送告警

智甲还为用户提供统一管理平台，管理员可通过平台集中查看网内威胁事件详情，并批量进行处置，提高终端安全运维效率。

图8‑2 通过智甲管理中心查看并完成威胁事件处置

09

 安天澜砥威胁检测分析垂直大模型

安天澜砥威胁检测分析垂直大模型能对样本进行自动化分析，部分解析内容如下：

图9‑1 安天澜砥威胁检测分析垂直大模型样本分析解读

按照国标草案给出威胁分类为Trojan.Win32.BlackBand，自动提取特征生成的YARA规则如下：

ruleTrojan_Win32_BlackBand:Trojan
{
  meta:    

   description = "这是一段由 VILLM V2 模型生成的 YARA 规则。用于检测 Trojan.Win32.BlackBand"
  strings:
    $a = {53 51 53 53 53 50 }
  condition:
    $a
}

安天澜砥威胁检测分析垂直大模型是国内首个通过国家网信办备案的威胁检测生成式算法。模型基于安天赛博超脑20余年积累的海量样本特征工程数据训练而成，训练数据包括文件识别信息、判定信息、属性信息、结构信息、行为信息、主机环境信息、数据信息等，支持对不同场景下向量特征进行威胁判定和输出详实的知识理解，形成应用不同需求和场景的多形态的检测方式，提升后台隐蔽威胁判定能力，进一步为安全运营赋能。

图9‑2 安天澜砥威胁检测分析垂直大模型样本分析结果