详细内容或原文请订阅后点击阅览
Bazar Loader DGA 的下一个版本
这篇博文展示了 Bazar Loader 的另一种域生成算法。虽然它仍然专门使用 .bazar 顶级域和类似的种子，但算法本身是全新的。
来源:bin.re _恶意软件上周，Bazar Loader 域生成算法 (DGA) 的新版本出现了。我已经分析了两个以前的版本，所以我将这篇文章写得简短些。
以前的 版本DGA 仍然使用同名的 .bazar 顶级域名，但二级域名更短，只有 8 个字符，而以前的版本有 12 个字符：
.bazarliybelac.bazarizryudew.bazarbiymudqe.bazarfuicibem.bazarbiykonem.bazaraqtielew.bazaryptaonem.bazarexyxtoca.bazariqfisoew.bazaraguponew.bazarexogelqe.bazarexybonyw.bazarretymonac.bazar
liybelac.bazarizryudew.bazarbiymudqe.bazarfuicibem.bazarbiykonem.bazaraqtielew.bazaryptaonem.bazarexyxtoca.bazariqfisoew.bazaraguponew.bazarexogelqe.bazarexybonyw.bazaretymonac.bazar
我分析了以下样本，没有进行太多混淆。还有许多其他样本具有额外的逆向工程对策，例如垃圾代码，但快速比较后发现没有功能差异。
- MD5c6502d4dd27a434167686bfa4d183e89SHA1bddbceefe4185693ef9015d0a535eb7e034b9ec3SHA25635683ac5bbcc63eb33d552878d02ff44582161d1ea1ff969b14ea326083ea780大小336 KB (344576 字节)编译时间戳2020-12-10 13:05:18 UTC链接MalwareBazaar、Malpedia、Cape、VirusTotalFilenames1ld.3.v1.exe， 35683ac5bbcc63eb33d552878d02ff44582161d1ea1ff969b14ea326083ea780 (VirusTotal)检测Virustotal：截至 2020-12-11 02:58:32 为 8/72 - Win64/Bazar.Y (ESET-NOD32)、Backdoor.Win32.Bazdor.co (Kaspersky)、Trojan.Win64.BAZALOADER.SMYAAJ-A (TrendMicro)、Trojan.Win64.BAZALOADER.SMYAAJ-A (TrendMicro-HouseCall)
解压样本得到以下结果：