红雨滴云沙箱“白加黑”检测技术识别到疑似恶意样本

通过访问红雨滴云沙箱入口（https://sandbox.ti.qianxin.com/sandbox/page） 使用沙箱进行辅助分析

红雨滴云沙箱提供Restful API接口，可将深度恶意文件检查能力集成到企业安全运营系统或安全厂商产品中，进行恶意文件检测。通过点击导航栏的AV引擎可以看到样本的杀软引擎检测结果。

点击右侧导航栏的深度解析功能，可以看到样本压缩包的基本信息，其中流文件信息部分列出了压缩包所包含的文件，点击文件列表右侧的部分还可以看到内部文件的基本信息：包含一个EXE和一个DLL文件。

沙箱报告的行为异常部分列出了样本运行后的一些可疑行为：例如，分配可读、可写、可执行内存空间，以及执行HTTP请求。

通过查看红雨滴云沙箱主机行为及网络行为，可以看到该样本会尝试连接微软域名officecdn.microsoft.com，并向该域名的其中一个解析IP发送可疑请求。

实际请求的IP (42.185.157.229)为officecdn.microsoft.com域名通过CDN绑定的一个IP。在样本向该IP发送的请求中，HTTP首部的host字段域名为whoamb.microsoft.com，而这个域名无法被解析。

经过沙箱辅助分析，解读分析报告后，我们可以初步判断该样本很可能是利用CDN隧道进行通信的木马样本，并借助微软域名进行流量伪装。

攻击样本使用dll侧加载技术，exe文件为某协同办公软件，本身为正常文件，不过它加载的dll文件为攻击者生成的恶意文件。恶意功能在dll的导出函数allocStringFromWideChars中：从dll文件的资源区获取数据，经过base64解码和一系列处理得到shellcode，最后执行shellcode。

加载的shellcode为Cobalt Strike生成的beacon木马，其配置信息如下，其中C2和SSH banner的配置符合beacon木马的域前置配置方式，结合样本在红雨滴云沙箱中的行为，可以确定该攻击样本是通过CDN隧道进行通信。

https://blog.virustotal.com/2020/02/virustotal-multisandbox-qianxin-reddrip.html

并且，红雨滴云沙箱也是VirusTotal中对恶意样本行为检出率最高的沙箱产品之一，部分高危样本可以通过点击BEHAVIOR选项卡查看到VirusTotal-红雨滴云沙箱的分析报告。

VirusTotal样本动态分析结果中集成的红雨滴云沙箱分析结果

点击阅读原文至ALPHA 5.0

即刻助力威胁研判