Phorpiex家族蠕虫病毒DeviceConfigManager.exe分析

前言

这个病毒采用了ShellCode、进程替换、虚拟机检测等手段对抗分析，主要行为有感染可移动磁盘和网络驱动器、替换剪切板中的加密货币地址和远程投放可执行文件等，尝试连接的远程主机有约271个，属于Phorpiex家族。

搜索相关线索，该样本经常更新，最早可追溯到2014年（火绒情报），而本次获得的样本约在2020年以后传播。

样本来源：求助，U盘病毒杀不掉

感染流程分析

根据帖子中内容得知，这些文件是从U盘中提取的，根目录下有两个文件，一个是快捷方式，另一个是vbs脚本文件。通常来说，vbs文件是隐藏的，下面来观察一下快捷方式：

指向了根目录下的vbs文件，vbs文件内容如下：

可以看到，该vbs文件首先关闭了根目录文件夹，随后打开了根目录下名为_的文件夹（它通常是隐藏的），最后在主机上运行了位于_文件夹中的DeviceConfigManager.exe

至此感染了接入U盘的主机。

模拟感染

这里使用Sandboxie来模拟主机和U盘的感染。

首先，插入U盘，并于沙盒中运行DeviceConfigManager.vbs，模拟插入U盘后打开快捷方式。

进程树

进程树如下：

可以观察到，DeviceConfigManager.exe启动了系统目录下的一个名为windrv.exe的文件，并结束了自身，此后一直都是windrv.exe在起作用。

文件列表

文件列表如下：

系统目录下“M-505060628465802658027468240850274052804608240850”中的windrv.exe与DeviceConfigManager.exe的校验值相同，可判断复制自身：

U盘感染后目录（未显示隐藏文件）：

两个0KB文件可能是沙盒问题，在真机环境中不会出现。用户在感染后会双击根目录中唯一的快捷方式，随后会打开存储原文件的目录，同时也会运行恶意文件，使接入U盘的计算机感染。

病毒分析

第一步：ShellCode加载

该病毒采用的技术手段主要是ShellCode加载和进程替换，还有一些反静态分析和反沙箱手段，例如垃圾代码和延迟等：

随后是解密文件中加密的ShellCode，并将其加载到内存中，之后跳转到解密代码处：

第二步：进程替换

这段ShellCode主要执行了替换自身进程的操作：

通过PEB找到kernel32.dll，并通过它的导出表定位到所需函数地址：

进程替换，包括PE头的复制，各区段的复制：

导入函数加载：

完成以上步骤后，跳到主模块中的一个函数，而此时的主模块已经是被替换的了。

第三步：恶意软件主体

反虚拟机和防止多开：

is_vm函数通过查询驱动器名称检测虚拟机：

持久化

主体中的持久化操作，主要是将自身复制到M-505060628465802658027468240850274052804608240850文件夹中名为windrv.exe（具有系统和隐藏属性），该文件夹多数被创建在系统文件夹下，随后是添加了开机自启，修改了防火墙和WindowsDefender等。

尝试在%windir%、%userprofile%、%temp%任一目录创建文件夹M-505060628465802658027468240850274052804608240850，并将自身复制到其中。按顺序逐个尝试，若有一个复制成功则停止下面的尝试：