如何将二进制数据隐藏到VB6可执行代码中

阅读量    65431 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

本文是这个系列文章的第一篇,这里的重点是理解Visual Basic 6.0 (VB6)代码,以及恶意软件作者和研究人员针对VB6所用的常见策略和技术。

 

摘要

本文涵盖了VB6恶意软件在可执行文件中嵌入二进制数据的常见方式,它们大体可以分为4个主要类别:

  1. 基于字符串的编码技术;
  2. 将数据隐藏在程序的实际操作码中;
  3. 将数据隐藏在VB6文件格式中;
  4. 将数据隐藏在正常PE结构内或周围。

最初,我只打算讨论如何将数据隐藏在文件格式本身中,但出于文档完备性的考虑,我认为有必要介绍所有数据隐藏方式。

在我看来,在文件格式中隐藏数据是一种特别有趣的方式。这是因为,它可以将数据穿插在一组复杂的、未公开的结构体中,因此,要想检测这些数据,就要求相关人员掌握先进的知识和复杂的解析方法。在这种情况下,很难确定数据来自何处,甚至很难确认这些缓冲区是否存在。

 

资源数据

第一种技术利用了语言本身内置的标准技术,即从资源段加载数据。实际上,VB6还附带了一个外接程序,用户可以通过它向项目中添加一个.res文件。该文件被编译到可执行文件的资源段,同时,该文件还可以轻松加载二进制数据。

实际上,这是一种众所周知的标准技术。

 

附加数据

这种技术是非常古老的,已经被各种编程语言所采用。我们将再次提及该技术,以使其更加全面,并链接到一个允许简化使用的公共实现[1]。

 

十六进制字符串缓冲区

恶意软件通常会构建一串十六进制字符,然后将其转换回二进制数据。这里的转换过程通常包括各种文本操作,例如解密或剥离垃圾字符序列。这些额外的字符序列通常用于阻止AV将数据自动识别为十六进制字符串。

在VB6的背景下,这里存在多种限制。首先,IDE只允许在一行最多出现1023个字符。另外,VB的续行语法&_也只限于25行。由于这些原因,您通常会看到以以下格式嵌入的大块数据:

在一个已编译的二进制文件中,每个字符串片段都是作为一个单独的块来保存的,这很容易识别。一个更快的变体可以将每个元素保存在一个字符串数组中,这种方式的好处是,聚合操作只执行一次即可。

这是一种众所周知的标准技术,常见于使用VBA、VB6以及其他语言编写的恶意软件中。需要注意的是,行长限制无法通过命令行编译绕过。

 

隐藏在图像中的二进制数据

我们知道,有多种方法可以将数据无损嵌入到图像格式中。其中,最常见的方法,就是将数据直接嵌入位图图像的结构中。位图可以直接保存在VB6的图像和Picture控件中。需要注意的是,以这种方式嵌入的数据,在编译前将被保存在.FRX表格资源文件中。一旦编译完成,这些数据将被保存到目标窗体元素的二进制属性字段中。像这样的图像可以用一个特殊的工具生成,然后用IDE直接嵌入到表单中。

下面是一个从这种位图中提取数据的公开样本[2]。

提取的图像将显示为一系列的彩色块和各种颜色的像素。请注意,这不是隐写术。

许多工具到知道如何从二进制文件中提取嵌入的图像。由于图像数据仍然包含BITMAP头,因此不需要解析VB6文件格式本身。需要说明的是,这种技术是公开的,而且已经得到了普遍使用。数据在提取后,通常还需要进行解密。

 

Chr字符串

与C语言恶意软件中的混淆方法类似,字符串可以在运行时根据单个字节值生成,具体如下例所示:

在asm语言级别,这有助于拆分字节值,并将其与操作码放在一起,防止自动检测或显示为字符串。对于本地VB6代码来说,它看起来像下面这样:

在P-Code中,它看起来像下面这样:

这是一种众所周知的标准技术,常见于使用VBA和VB6语言编写的恶意软件中。

 

数值数组

数值数组是恶意软件中的一种相当标准的技术,用于拆分程序操作码中的二进制数据。它类似于Chr技术,不同之处在于,它能够以更紧凑的格式保存数据。这种技术最常用的数据类型是4字节的long类型,和8个字节的currency类型。这种技术的主要优点是,数据易于通过数学方法进行处理,从而实现即时解码。

本地代码:

P-Code:

本地代码:

P-Code:

尽管这种技术不像其他技术那样流行,但应用历史也很长了。就我而言,第一次看到它是在Flash ActionScript的漏洞中。

 

表单属性

表单和嵌入式GUI元素可以将编译后的数据保存到其属性中。其中,最常用的属性是Form.Caption、Textbox.Text以及各种元素的.Tag属性。

由于所有这些属性通常都是通过IDE输入的,因此,我们通常会发现其中仅包含ASCII数据,这些数据后来会解码为二进制形式。

然而,开发人员也可以通过各种技术将二进制数据直接嵌入到这些属性中。

虽然可以直接对.FRX表单资源文件中的原始数据进行十六进制编辑,但这会面临许多限制,例如无法处理嵌入的空值。另一种解决方案是在编译后插入数据。通过这种技术,将预留一个由ASCII文本组成的大缓冲区,该缓冲区具有相应的起始和结束标记。然后,我们可以在编译后的可执行文件上运行嵌入工具,用真正的二进制数据填充缓冲区。

使用表单元素属性来存放基于文本的数据也是一种常见的做法,在VBA、VB6、甚至PDF脚本中都可以看到这种用法。目前,研究人员已在野外观察到嵌入了后处理步骤的二进制数据。在P-Code和本地代码中,对这些属性的访问可以通过COM对象VTable完成。

在Semi-VBDecompiler的源码中,每种不同的控件类型(包括ActiveX)都有自己的解析器,用于解析这些编译后的属性字段。如果所使用的工具能够显示数据,其结果会有所不同。此外,Semi-Vbdecompiler还提供了一个选项,可以将属性Blobs转储到磁盘上供人工探索。有时候,人工分析是揭示这种类型的嵌入式二进制数据所必需的。

 

用户控件属性

在上述技术中,有一个特例,那就是内置的UserControl类型。这个控件用于托管可重用的视觉元素和创建OCX。该控件有两个事件,它们被传递给一个包含其内部二进制设置的PropertyBag对象。这种二进制数据可以在IDE中通过属性页轻松设置。这种机制可以用来存储任何种类的二进制数据,包括整个文件系统。关于这种技术的公开样本,请参阅[3]。需要注意的是,嵌入的数据将保存在宿主表单UserControl的每个实例的属性中。

 

二进制字符串

编译后的VB6可执行文件会保存带有长度前缀的内部字符串。与表单属性的技巧类似,这些条目可以在编译后进行修改,以包含任意的二进制数据。为了将这些数据块与其他二进制数据区分开来,必须对VB6文件格式具有深入的理解并进行复杂的解析。

用这种技术可以嵌入的最长字符串受限于IDE中的行长,即2042字节。

基于VB6的恶意软件可以正常访问这些字符串,并且无需使用特殊的加载程序:相关的源代码就是str = “binary data”。

IDE可以处理大量unicode字符,而这些字符可以被嵌入到源代码并进行编译。另外,完整的二进制数据可以使用后处理技术(post processing technique)来嵌入。

 

错误行号

VB6允许开发人员嵌入行号,这样的好处是:在发生错误时,可以通过这些行号帮助确定出错的位置。这个错误行号信息被存储在字节码流之外的一个单独的表中。

错误行号可以通过Erl()函数进行访问。VB6对每个函数的行号限制为0xFFFF,行号值必须在0-0xFFFF范围内。由于使用这种技术时,嵌入数据的大小受到限制,因此,这种方法仅适用于短字符串,如密码和网址等。

当运行下面的代码时,它将输出“secret”:

需要注意的是,只有具备VB6文件格式的高级知识,才能将这种数据与文件的其他部分区分开来。如果不进行其他方式的编码处理的话,嵌入的数据将是连续的和可读的。

 

函数体

利用AddressOf操作符,VB6可以在运行时轻松访问模块中公共函数的地址。我们可以在可执行文件的.text段中加入一个仅含占位符指令的dummy函数,以创建一个空白缓冲区。这个缓冲区可以通过调用CopyMemory轻松加载到一个字节数组中。之后,我们可以使用简单的后期编译嵌入技术来填充任意数据。

对于P-Code编译,AddressOf会返回一个带有结构体偏移量的加载器存根的偏移位置。尽管P-Code编译还需要几个额外的步骤,但仍然是可以实现的。

 

参考资料

[1] Embedded files appended to executable – theTrik:

https://github.com/thetrik/CEmbeddedFiles

[2] Embedding binary data in Bitmap images – theTrik:

http://www.vbforums.com/showthread.php?885395-RESOLVED-Store-binary-data-in UserControl&p=5466661&viewfull=1#post5466661

[3] UserControl binary data embedding – theTrik:

https://github.com/thetrik/ctlBinData

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多