alisterrodrigues/zeus-banking-trojan-analysis
GitHub: alisterrodrigues/zeus-banking-trojan-analysis
一份针对 2013 年 Zeus 银行木马变种的详尽逆向分析报告，涵盖了从静态反汇编、动态行为监控到网络通信追踪的完整技术解析及检测规则。
Stars: 0 | Forks: 0
# Zeus 银行木马 (2013) — 静态、动态及网络分析
\AppData\Local\Temp\InstallFlashPlayer.exe
Size : 89,248 bytes (87.1 KB)
Attributes: Hidden
Version : Adobe® Flash® Player Installer/Uninstaller 11.0 r1
OrigName : FlashUtil.exe
```
### 网络指标
```
Domains:
corect.com — embedded C2 domain (static); no DNS observed during analysis
j.maxmind.com — geolocation fingerprinting (observed)
fpdownload.macromedia.com — Flash update host contacted by dropped binary (observed)
HTTP Requests (observed):
GET /app/geoip.js HTTP/1.0
Host: j.maxmind.com
GET /get/flashplayer/update/current/install/install_all_win_cab_64_ax_sgn.z
Host: fpdownload.macromedia.com
User-Agent: Flash Player Seed/3.0
```
### 注册表指标 (已观察到)
```
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProxyBypass
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IntranetName
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\UNCAsIntranet
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect
```
### 进程指标
```
Process name : InstallFlashPlayer.exe
Working set : ~3.5 MB
Children : cmd.exe + conhost.exe
Thread behavior: Includes a dedicated "KILL OWN PROCESS" worker thread
UAC display : "Adobe® Flash® Player Installer..." (standard privileges)
"invoice_2318362983713_823931342io.pdf.exe" (admin privileges)
```
## YARA 检测规则
```
rule Zeus_BankingTrojan_26Nov2013_Sample {
meta:
description = "Detects Zeus Banking Trojan sample from November 2013"
author = "Alister A. Rodrigues"
date = "2025-12-08"
reference = "MD5: ea039a854d20d7734c5add48f1a51c34"
severity = "high"
malware_family = "Zeus"
strings:
$domain = "corect.com" ascii wide
$geo = "j.maxmind.com" ascii wide
$fake_desc = "Adobe Flash Player Installer" ascii wide
$fake_copyright = "1996-2011 Adobe, Inc." ascii wide
$original_name = "FlashUtil.exe" ascii wide
$api1 = "GetAsyncKeyState" ascii
$api2 = "CreateFileMappingA" ascii
$api3 = "GetClipboardData" ascii
$api4 = "VirtualQueryEx" ascii
condition:
uint16(0) == 0x5A4D and
filesize < 500KB and
(
($domain and $geo) or
($fake_desc and $fake_copyright and $original_name) or
(3 of ($api*))
)
}
```
## 工具链
| 工具 | 用途 |
|---|---|
| **PEiD** | 加壳/编译器签名检测 |
| **Detect It Easy (DIE)** | 编译器识别，熵值分析 |
| **PE-bear** | PE 头检查，导入表，字符串分析 |
| **Pestudio** | 导入分析，每节熵值，可疑指标标记 |
| **FLOSS** | 字符串提取（明文 + 混淆） |
| **CAPA** | 自动化行为能力检测 |
| **IDA Pro** | 主要反汇编和反编译 |
| **Cutter** | 交叉验证反汇编（辅助） |
| **Sysinternals sigcheck** | 代码签名证书验证 |
| **Windows certutil** | SHA-256 / SHA-1 / MD5 哈希计算 |
| **Process Monitor (Procmon)** | 文件、注册表和进程事件监控 |
| **Procdot** | 进程活动可视化和图形分析 |
| **Wireshark** | 数据包捕获和流量分析 |
| **FakeNet-NG** | 网络仿真和 DNS/HTTP 拦截 |
| **Regshot** | 注册表快照差异比较 |
| **VirusTotal** | OSINT 哈希关联，沙箱行为数据 |
| **Wayback Machine** | 历史域名调查 (corect.com) |
## 为什么这个样本依然重要
Zeus 本身已经失效。它的 C2 基础设施已经停止运行多年，此处分析的特定 2013 变体无法向任何活动的服务器窃取凭证。但它所开创的技术并没有失效——它们是整个现代银行木马生态系统的蓝图。
本分析中记录的每一个行为在当前的威胁中都有直接的后继者：
- **双扩展名社会工程学** (`invoice.pdf.exe`) 仍然是 2025 年大众恶意软件的主要投递载体
- **共享内存进程注入**技术 (`CreateFileMappingA` + `VirtualQueryEx`) 出现在 TrickBot 的浏览器挂钩模块中
- 通过 MaxMind 进行的**地理定位指纹识别**被 QakBot 原封不动地用于受害者分析
- 用于降低浏览器安全态势的 **IE ZoneMap 修改**在 Dridex 中得到了重现
- **存根名称混淆**模式——将 API 导入别名为随机字符串——是当今几乎所有主要恶意软件家族所使用的现代字符串加密技术的直接先驱
理解 Zeus 是理解其后继者的前提。此处的分析旨在为该谱系提供一份完整的参考。
## 完整报告
涵盖了完整的静态分析发现（PE 结构、反汇编、混淆模式）、动态执行监控、网络流量分析、完整 IOC 表、YARA 规则和防御建议。
*分析由 Alister A. Rodrigues 完成。所有分析均在隔离的虚拟机环境中进行，无生产网络连接。本仓库中不存储恶意软件样本。*
标签：ATT&CK框架, DAST, DNS信息、DNS暴力破解, DNS 反向解析, DNS 解析, HTTP工具, IDA Pro, IP 地址批量处理, PE文件分析, Wayback Machine, Windows恶意软件, YARA规则, Zeus木马, 云安全监控, 云资产清单, 入侵指标, 反汇编, 威胁情报, 开发者工具, 恶意软件分析, 搜索语句（dork）, 样本分析, 网络安全, 网络安全审计, 网络流量分析, 逆向工程, 金融安全, 银行木马, 隐私保护, 静态分析