*本文作者:aWe18s,本文属 原创奖励计划,未经许可禁止转载。

前言

最近在分析样本时,遇到了不少使用PowerShell脚本的病毒程序,这些脚本基本都是经过混淆处理过的,给分析过程带来了一些麻烦。

我们知道PowerShell是微软推出的一款强大的命令行脚本环境,连微(ju)软(ying)这样低调的公司都将其以“Power”冠名,足见其强大之处。但凡事都有两面性,PowerShell能够为用户管理Windows系统带来便捷,也同样可以为黑客大开方便之门,沦为黑客违法行为的工具。而PowerShell灵活的语言特性又使其能够轻易的被混淆处理,混淆过的PowerShell脚本不仅使得基于特征码的杀软很难查杀,也给病毒分析工作增加了难度。

本文基于笔者在分析PowerShell病毒过程中的经验,总结了解密被混淆过的PowerShell脚本的一些方法。

0×01 PowerShell代码混淆方法

想要去混淆,首先要了解有哪些混淆的方法。在17年的黑帽大会上,有人专门对此做过演讲

主要包括:转义符(反引号)、简写与通配符*、脚本块、字符串处理、编码、自构造关键字替换等,这里不做详细介绍。

0×02 如何实现去混淆?

先看一个被混淆过的PowerShell脚本:

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

中间都是被混淆的代码,已经面目全非,所以只看头尾。可以发现混淆后其实只有一行代码,是一条IEX命令。查看微软对IEX的解释:

《如何解密出被混淆的PowerShell脚本?》

IEX用于将字符串作为命令执行,当去掉IEX后,执行后就会显示原本的字符串。

观察整段程序,其格式可以提取为:IEX( -jOiN(‘aaa’).SplIT( 'LzX>hGp!' ) |%{ ([chaR] ([CONVErT]::TOiNT16( ([StrIng]$_),16) ))} )),括号中的代码其实就是对字符串‘aaa’进行处理,将其还原成原本要执行的代码,处理完后调用IEX执行。

因此我们可以类比脱壳的思想,即无论程序怎样加壳,最终执行后都会把原本的代码吐出来,PowerShell也是如此,无论怎样混淆,最终都会执行它原本的代码

将脚本开头的IEX去掉,并将执行结果输出到文件1.ps1中:

《如何解密出被混淆的PowerShell脚本?》

打开1.ps1,可以看到去混淆后的PowerShell代码:

《如何解密出被混淆的PowerShell脚本?》

有时IEX不一定在开头,也可能在结尾,如下:

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

这其实也是一行代码,其格式可以提取为:“aaa” | Invoke-Expression。也是将字符串当作命令执行,去混淆时只需删除结尾的| Invoke-Expression即可。

有时也会有找不到IEX的情况,如下:

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

可以看到这也是一行代码,但首尾都找不到IEX,这种情况如何处理呢?观察这行代码,可以将其提取为:&(“aaa”)(“bbb”)&是PowerShell的操作符,调用&可以将字符串或变量当作命令执行。所以这里的&( $psHOme[4]+$pshOme[34]+'x')其实是一个命令。

这是什么命令呢?首先看下$psHOme表示什么:

《如何解密出被混淆的PowerShell脚本?》

可以看到它其实就是系统中PowerShell的路径。那么$psHOme[4]$pshOme[34]就应该分别是这个路径字符串中的一个字符:

《如何解密出被混淆的PowerShell脚本?》

连起来正好是“iex”

《如何解密出被混淆的PowerShell脚本?》

所以&( $psHOme[4]+$pshOme[34]+'x')其实等同于IEX命令,我们把它从脚本前面去掉,然后执行,可以看到去混淆后的代码:

《如何解密出被混淆的PowerShell脚本?》

前面都能够通过去掉头尾的IEX实现去混淆,但有时去掉后不一定就是可读的代码,如下:

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

去掉末尾的| Invoke-Expression后,解密出的代码如下,并不可读:

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

观察这段代码,发现依然只有一行代码,且开头是一个IEX。我们继续前面的方法进行解密,经过6次解密后,在代码的头尾都找不到IEX了。

《如何解密出被混淆的PowerShell脚本?》

《如何解密出被混淆的PowerShell脚本?》

这时的脚本已经是可读的了。

0×03总结

PowerShell去混淆与程序脱壳其实是一个道理,即无论怎样混淆,最终都会执行它原本的代码,遵循这个原则就一定能将被混淆的代码解密出来。

此外,PowerShell语法多样且非常灵活,本文也仅仅是基于笔者自身经验做了一些总结,难免有偏差遗漏之处,欢迎指正补充。

*本文作者:aWe18s,本文属 原创奖励计划,未经许可禁止转载。