布景介绍
DorkBot是一个臭名远扬的僵尸网络，运用的进犯手法包括后门植入，暗码盗取等歹意行为。传达方法也林林总总，包括移动U盘、即时通讯软件、交际网络、电子邮件等。首要进犯意图便是盗取用户暗码，以及各种能够辨认个人身份的信息。
上一年7月，深服气安全团队在应急呼应作业中发现DorkBot的一个变种。近几个月，经过深服气安全云脑的监控数据发现Dorkbot又开端活泼。下图能够看到该僵尸网络的活泼指数逐月升高。僵尸网络一般都是作为网络进犯的载体，勒索软件、挖矿木马等许多歹意软件现在都经过僵尸网络分发。
从感染方位来看，东南滨海、京津冀和西南区域受灾较为严峻DorkBot僵尸网络近期活泼状况陈述。其间广东省、山东省、山西省排列感染量前三，出其不意的是青海感染量位居第五。散布如下图所示：
DorkBot僵尸网络近期活泼状况陈述
从感染职业来看，政府、教育部门和企业为首要进犯方针。
在国内各省份和区域中，广东省感染量最大。其间企业、政府和教育部门受害严峻，也基本上与国内全体感染DorkBot僵尸网络近期活泼状况陈述职业的散布较为相似。由此可见，相关职业亟需加强对网络进犯的防护。
样本剖析 病毒流程
反检测技能
文件用了多层paDorkBot僵尸网络近期活泼状况陈述yload解密的技能，用于逃避安全软件检测和搅扰调试，最终解密出一个完好的PE文件，包括中心歹意代码。
经过字符串停止下列安全软件进程：
norton、antivirus、symantec、mcafee、eset、avg、avast、avira、kaspersky、checkpoint、grisoft、antivir、bitdefender、windows defender、unlocker、sandboxie、windowsupdate、alwil、avpersonal、sophos、virus、f-secure、trend、ccleaner、malware、norton、internet security、drweb、spyware
norton、antivirus、symantec、mcafee、eset、avg、avast、avira、kaspersky、checkpoint、grisoft、antivir、bitdefender、windows defender、unlocker、sandboxie、windowsupdate、alwil、avpersonal、sophos、virus、f-secure、trend、ccleaner、malware、norton、internet security、drweb、spyware
创立一个同名进程，将解密的PE文件注入进程。
中心代码中所运用的API都经过动态获取函数地址，而且要害字符串都需求解密运用。
创立calc.exe进程进行注入。
创立svchost.exe进程进行注入。
完毕已有的notepad.exe进程，创立新的notepad.exe进程进行注入。
传达模块
该病毒经过U盘进行传达，会创立一个窗口用于监听USB的刺进。
当有U盘刺进后，会检测是否已存在感染的文件，进行删去，从头感染，并设置文件特点为躲藏。
耐久化模块
复制本身到”C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Adobe\Reader_sl.exe”，并添加到注册表自启动。
网络模块
在calc.exe进程中解密如下url下载文件到受害主机的temp目录：
在notepad.exe进程中解密出如下域名：
衔接C&C端获取指令。
防护主张病毒检测查杀
1、深服气EDR产品、下一代防火墙及安全感知渠道等安全产品均具有病毒检测才能，布置相关产品用户可进行病毒检测，如图所示：
2、深服气为广阔用户免费供给查杀东西，可下载如下东西，进行检测查杀。
64位体系下载链接：
http://edr.sangfor.com.cn/tool/Sf篆体字转换器abAntiBot_X64.7z
32位体系下载链接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z
64位体系下载链接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z
32位体系下载链接：
http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z
1、运用深服气安全产品，接入安全云脑，运用云查服务能够即时检测防护新要挟；
2、深服气推出安DorkBot僵尸网络近期活泼状况陈述全运营服务，经过以“人机共智”的服务形式协助用户快速扩展安全才能，针对此类要挟安全运营服务供给设备安全设备战略查看、安全要挟查看、相关缝隙查看等服务，保证第一时间检测危险以及更新战略，防备此类要挟。
3、最终，主张企业对全网进行一次安全查看和杀毒扫描，加强防护作业。引荐运用深服气安全感知+防火墙+EDR，对内网进行感知、查杀和防护。
1、运用深服气安全产品，接入安全云脑，运用云查服务能够即时检测防护新要挟；
2、深服气推出安全运营服务，经过以“人机共智”的服务形式协助用户快速扩展安全才能，针对此类要挟安全运营服务供给设备安全设备战略查看、安全要挟查看、相关缝隙查看等服务，保证第一时间检测危险以及更新战略，防备此类要挟。
3、最终，主张企业对全网进行一次安全查看和杀毒扫描，加强防护作业。引荐运用深服气安全感知+防火墙+EDR，对内网进行感知、查杀和防护。
*本文作者：深服气千里目安全实验室，转载请注明来自FreeBuf.COM
