BackSwap銀行木馬進化分析
本文將介紹BackSwap的進化過程、唯一性、成功性以及失敗的地方。文中會介紹惡意軟體不同版本和攻擊活動的概覽。
BackSwap概覽
Zbot, Gozi, Dridex, Carberp等都是比較常見的銀行木馬。多年來，銀行木馬惡意軟體找出高階以及複雜的方式來竊取銀行木馬和信用卡詳情，並濫用這些資訊來偷錢。
大多數銀行木馬會注入程式碼到受害者的瀏覽器記憶體中以達到竊取資訊的目的。注入的程式碼會hook瀏覽器中的通訊以攔截私有的銀行資料。攔截的資料之後會發送給攻擊者。但這種方法比較複雜和不穩定，因為注入的程式碼要適應不同的目標瀏覽器。而且攻擊者必須追蹤駐留瀏覽器快速變化的程式碼，這是一個非常大的挑戰。
BackSwap是一個簡單但是非常有效的銀行木馬，將自己隱藏在大量的主流和合法軟體之中，比如7-Zip、FileZilla和Notepad++。從表面上看，該程式的可執行檔案是非惡意的，但攻擊者注入的程式碼最終會在使用者啟動前面提到的應用時執行。
BackSwap進化史
過去幾個月，研究人員發現了Backswap的上百個樣本，並且看到這些樣本中出現的很多的變化。通過分析這些資料，研究人員將樣本進行分組並分析了惡意軟體行為發生的變化。
早期版本
BackSwap的第一批樣本是2018年3月中旬出現的。樣本中並沒有對payload進行混淆，只是插入到原始程式（比如7-Zip、WinGraph和SQLMon）中去。根據惡意軟體中的一些字串，可以推斷攻擊目標是波蘭，每個樣本攻擊目標是波蘭的1到3家銀行。最常見的目標銀行網站是ipko.pl，24.pl和mbank.pl。
初始版本的另一個特徵是對每個目標銀行都保持一個加密資源，使用的加密方法就是使用0x9進行一個簡單的XOR運算。雖然該加密方法非常弱，但BackSwap一直在使用。Web注入程式碼含有佔位符“xxxxxxxxxxxxxxxxxxxxxxxxxx”，是惡意軟體用來儲存竊取的銀行交易信息的IBAN。當受害者進入目標銀行網站並且需要進行交易時，web注入程式碼就會用前面提到的IBAN替換目標IBAN，這樣受害者就會把錢轉入攻擊者賬戶中。
2018年4月，更多的銀行被加入成為目標，一些樣本甚至含有最多6個不同的資源。Web-inject程式碼的JS實現使用瀏覽器視窗的標題改善了與PE二進位制檔案中程式碼互動的方式。Shellcode/">Shellcode會檢查瀏覽器標題文字的變化，並抓取這些資訊傳送WebInjects。惡意軟體PE的後臺執行緒會將竊取的資訊儲存到計算機的日誌檔案中，併發送給C2伺服器。
4月中，BackSwap開始在目標網站的DOM中建立假的輸入物件。這些假的輸入域看起來和真的一模一樣。但當用戶填假的域時，原始域就會隱藏幷包含攻擊者的IBAN資訊。同時，惡意軟體使用新的注入技術將惡意JS傳遞到URL位址列。
4月底，BackSwap第一次使用XOR key來加密資源，這次使用了0xb。這一變化使BackSwap的一大特性，最近出現的樣本中每個都有一個不同的key。但使用的加密方法仍然是簡單的XOR。除了XOR key的變化外，惡意軟體開發者還將IBAN移到硬編碼的web-injects javascript中了。
圖3: 錢騾的硬編碼資訊
5月的web-injects中有一個負責複製特定字串到剪貼簿的函式copyStringToClipboard。複製的字串中含有受害者填寫的資訊，由惡意軟體PE中的執行緒負責讀取和處理。
同月，研究人員發現BackSwap開始追蹤受感染的機器數量，這是通過傳送HTTP請求到主流的俄羅斯網站yadro.ru來實現的。該方法在從攻擊者站點收集受害者位置資訊非常有效和簡單。而且安全產品很難將其標記為非法的。
BMP中加密的payload
2018年6月，BackSwap開發者引入了一個新的payload編碼技術；在該技術中，的PIC是加密的，嵌入到一個BMP圖片中，使用了BMP header的唯一性特徵。
圖4: 嵌入位置無關程式碼到圖片中
BMP檔案header是0x42，0x4D對應ASCII碼的BM。這對十六進位制數字也是有效的x86指令。下面是對這些位元組的翻譯：
BackSwap背後的攻擊者就利用了BMP header來使其程式碼看似是無害的。指令執行後，JMP指令會開始PIC解密。解密路徑非常簡單，而且很容易分析。
第一個BMP圖片非常抽象、很難理解，之後的都是基於真實圖片的。第一個例子是著名電影Scarface中的一個場景。
最近的版本
2018年7月研究人員沒有發現其攻擊活動，8月新樣本出現，這是惡意軟體的一個拐點，因為攻擊者利用這1個多月的時間加入了新的特徵和功能：
首先，惡意活動轉向攻擊西班牙銀行，徹底放棄了之前的波蘭銀行。
圖5: BackSwap攻擊的西班牙和波蘭銀行
其次，BackSwap改變了其儲存web-injects的方式。之前對不同的目標銀行儲存在不同的資源中，現在將這些都融入到一個單一資源中，並用特定的分割關鍵詞將web-inject程式碼段分隔開。8月份，研究人員共檢測到兩個分隔器，第一個是“[start:]”，第二個是“[fartu:]”。目標銀行網站也不儲存在惡意軟體的PIC中，而是儲存在web-inject程式碼中。示例如下：
8月份發現的樣本還使用外部網站來儲存javascript payload。雖然web-injects仍然儲存在被劫持的程式的.rsrc區域中，但只是一個封裝，並從其他伺服器匯入惡意JavaScript程式碼。將惡意程式碼儲存在第三方伺服器上不太穩定，因為安全供應商和網站本身都可以刪除惡意頁面。
BackSwap還在8月份引入了許多BMP影象。8月底，研究人員發現犯罪分子在普京的照片上加入了一些比較幼稚的文字內容來對抗防毒軟體。
圖6: BackSwap的PIC嵌入在普京的照片中
之後研究人員發現攻擊者對PIC payload進行了修改，尤其是加密層和一些垃圾程式碼，這會使分析過程變得很複雜，並且使惡意軟體更難檢測。在這幾個月的發展中，BackSwap在Javascript web-injects中引入了一些分割器，比如[mumuo:]、[pghtyq]等。
11月底的樣本中引入了俄羅斯電視劇Seventeen Moments of Spring的圖片。web-injects中分隔符也變成了[asap:]。惡意軟體將資訊從Javascript web-inject程式碼轉變為PE中的可執行shellcode的方式也發生了改變。之前的版本中，BackSwap會通過剪貼簿傳送受害者的憑證和其他訊息到shell code，新版本中通過瀏覽器的URL來發送同樣的資料。
圖7: Backswap最新BMP圖片
圖8: 傳送給防毒軟體的圖片
總結
雖然銀行木馬不再是網路犯罪分子偷錢的主要方式了，但BackSwap證明了這種獲利方式還在進行中。事實上，惡意軟體開發者還在不斷在改善銀行木馬來避免被安全產品發現。
惡意軟體證明了可以偽裝為合法應用來繞過安全措施，因此使用者應該注意不要從非授權的源去下載軟體。因此，強烈建議使用者從原發布商官網去獲取軟體。