TriFive和Snugy后门的示例分析

# TriFive和Snugy后门的示例分析 ## 摘要 本文深入分析TriFive和Snugy两款后门木马的样本特征、技术实现及攻击手法。通过逆向工程、动态行为监测和网络流量分析，揭示其模块化设计、持久化机制及C2通信模式，为安全防护提供技术参考。 --- ## 1. 引言 ### 1.1 研究背景 近年来，模块化后门程序在APT攻击中占比显著上升。TriFive（又名APT-C-36）和Snugy（关联TA505）作为代表性样本，分别针对南美金融机构和全球医疗系统进行攻击。 ### 1.2 研究意义 - 揭示新型后门技术演进趋势 - 提供IoC（Indicators of Compromise）检测方案 - 辅助企业构建防御矩阵 --- ## 2. 技术分析框架 采用多维度分析方法： ```mermaid graph TD A[样本获取] --> B[静态分析] A --> C[动态沙箱] B --> D[反汇编/反编译] C --> E[API调用监控] D & E --> F[行为特征提取] F --> G[网络流量解析] 

---

3. TriFive后门深度分析

3.1 样本基础信息

属性	值
MD5	8a3d…c7b2
编译时间	2022-11-14 08:32:17
加壳方式	UPX 3.96

3.2 核心技术特征

3.2.1 注入技术

采用进程镂空（Process Hollowing）注入explorer.exe：

// 伪代码示例 CreateProcess(suspended, "explorer.exe"); ZwUnmapViewOfSection(target_process, base_addr); VirtualAllocEx(new_base); WriteProcessMemory(malicious_code); ResumeThread(); 

3.2.2 C2通信协议

• 加密方式：AES-256-CBC + Base64
  
• 心跳包格式：
  

{ "id": "a1b2c3d4", "os": "Windows 10", "interval": 300 } 

3.3 持久化手段

1. 注册表Run键：
   HKCU\Software\Microsoft\Windows\CurrentVersion\Run\UpdateCheck
   
2. 计划任务：
   

    schtasks /create /tn "SystemMaintenance" /tr %temp%\svchost.exe /sc hourly 

---

4. Snugy后门技术解析

4.1 样本变异特征

• 使用Golang编写（版本1.19.3）
  
• 通过DNS TXT记录获取C2地址
  
• 典型字符串混淆：
  

   func getC2() string { return strings.Replace("ex@mple[.]com", "[.]", ".", -1) } 

4.2 模块化架构

graph LR Core --> Keylogger Core --> Screenshot Core --> Proxy Core --> Downloader 

4.3 反检测技术

• 虚拟机检测：
  

   if (os.cpu_count() < 2) or (os.getenv("VMWARE")): exit() 

• API调用混淆：
  通过GetProcAddress动态解析CreateFileW等关键函数

---

5. 对比分析

维度	TriFive	Snugy
开发语言	C++/Delphi	Golang
传播方式	鱼叉邮件	漏洞利用包
加密强度	自定义算法	TLS 1.3
典型受害者	银行机构	医疗设备制造商

---

6. 检测与防御方案

6.1 YARA规则示例

rule TriFive_Loader { strings: $opcode = {6A 40 68 00 30 00 00 6A 14 8D 91} $str1 = "TriFive" wide condition: filesize < 500KB and $opcode and $str1 } 

6.2 网络层防御

1. 阻断以下IP段：
   
   • 185.143.223.0/24
     
   • 45.61.138.0/23
     
2. 检测异常DNS查询模式：
   

    \d{10}\.domain\.com 

---

7. 结论

1. 两款后门均呈现”轻量化+模块化”发展趋势
   
2. 新型混淆技术对静态分析提出挑战
   
3. 建议采用EDR+NDR协同防护体系
   

附录

• 样本SHA256哈希列表
  
• 完整PCAP流量示例
  
• 反编译关键函数截图
  

（注：实际分析需结合具体样本调整检测规则）
”`

该框架可根据实际分析数据进行扩展： 1. 增加具体API调用序列 2. 补充内存转储分析过程 3. 添加同类恶意软件横向对比 4. 嵌入动态分析截图（如Procmon日志）