保定Ares：Kronos银行木马新变种分析

Kronos银行木马于2014年出现，在黑市中作为犯罪软件工具包销售，被犯罪分子用于信用卡诈骗、身份盗窃和电汇欺诈。2018年9月，出现了名为Osiris的新Kronos变体，并于2019年中左右停止了更新。2021年2月，Zscaler安全团队又确定了一个新的Kronos变体Ares，通过垃圾邮件活动向德语用户开展网络钓鱼。这三款恶意软件的命名规则应该是参考了希腊神话体系，Ares是宙斯的儿子、Kronos的孙子。因此Ares应算是Kronos的第三代变种。Ares当前仍处在开发阶段，它带有一个信息窃取插件，能从多个应用程序(包括VPN客户端、web浏览器)中获取证书，窃取文件和加密货币钱包。

Osiris和Ares目前被其幕后团队并行使用，本文将讲述新变种的开发及相关活动。

DarkCrypter

Osiris和Ares的新样本均由DarkCrypter封装，DarkCrypter是一款由攻击者编写的C 封装器，与已经被破解并泄漏的商业封装程序DarkCrypter无关，程序包含的PDB路径为d:\scm\Italy\dopplegang\DarkCrypter\Bin\Clean.pdb。DarkCrypter与Kronos/Osiris共享部分代码，比如字符串加密算法。解密字符串表后，前41个条目与旧Kronos变种相同，还增加了八个新的字符串（如下所示）来检测沙箱环境：

·