文章总结： Zloader木马是一种银行木马，近年来被广泛用于勒索软件投递。文章详细分析了其四种加密通信方式：DGA技术生成随机域名、DNS隧道隐藏数据、HTTPS协议加密通信和Websocket的MASK加密。这些技术都是为了绕过传统流量检测手段。观成科技提出通过AI模型结合TLS指纹进行检测，并强调需要持续关注恶意软件的加密技术演进，采用行为检测和机器学习等手段应对威胁。
综合评分： 87
文章分类： 恶意软件,威胁情报,网络安全,漏洞分析,数据安全
【涨知识】Zloader木马家族加密流量分析
原创
Jo
北京观成科技
2025年12月12日 11:28
北京
一、概述
Zloader木马是一个下载器，在初期主要用于加载安装zeus恶意软件，zeus主要是注入到浏览器达到劫持通信的目的，从而窃取银行个人账户密码，因此又有人称为银行木马 。Zloader在不断的发展过程中，逐渐被各大黑产利用，近几年在勒索软件的投递上有着很高的利用率。从Zloader的通信方式上，可以看到以此为代表的流行恶意软件在当前流量侧加密技术的一些常用通信手法。
二、加密通信方式
#
| | |
| — | — |
| 通信方式 | 描述 |
| DGA技术 | 使用随机种子（通常是系统日期和时间）和一定的算法生成攻击者能预测到的域名序列。 |
| DNS隧道技术 | 将域名系统 (DNS) 用作恶意流量的传输通道，从而绕过网络安全措施。通过将非 DNS 流量隐藏在 DNS 数据包中，攻击者通常可以绕过网络安全措施。 |
| HTTPS通信 | 对抗HTTP明文特征检测，通过TLS协议层加密，使得载荷部分完全变成密文，绕过传统的明文检测手段。 |
| Websocket通信 | 较快的传输速度，通过HTTP建立连接后使用MASK加密。 |
2.1
DGA技术的应用
DGA技术（域名生成算法）恶意软件通过随机种子和算法生成域名，攻击者可以在未来的一定时间中预测到该时间点生成的域名，从而注册使用。由于域名不断变化，使得情报无法准确命中。在下述样本报文中，Zloader生成DGA的域名作为C&C地址进行通信。样本产生的DGA主域名由20个字符组成的字符串组成，域名后缀为com，如：“wmwifbajxxbcxmucxmlc.com”。
图1：Zloader家族DGA域名
2.2
DNS隧道的应用
Zloader的DNS隧道通信，通过在域名中加入载荷信息从而实现数据的隐藏。样本中的DNS隧道基本由四部分构成：前缀.头部.载荷.域名服务器地址。比如：cdn.0000000001000000010000000000.ns1.brownswer.com；前缀为cdn；头部信息“0000000001000000010000000000”；域名服务器地址：ns1.brownswer.com；其中头部信息由4字节的会话ID和4字节序列号、2字节消息类型、4字节标识携带载荷子域名数量，即[00000000][01000000][0100][00000000]。本例中因样本服务器未响应，发出的消息类型0x1为ping消息，没有携带任何载荷。在实际样本的通信中，DNS隧道传输HTTPS通信，在子域名中会出现0x160303等TLS协议数据字符数据，此时的消息类型为0x4、0x5、0x6、0x7数据；携带载荷子域名数量也会有1到3个。
图2：ZloaderDNS隧道通信
更新后的Zloader家族DNS隧道通信增加了会话密钥字段，用于加密头部和载荷部分数据；如下方样本报文中“cdn.zl4feiq.ddougvaz3zcfkg67ivlbxya.dt1.automotosport.net”的DNS请求，第二段“zl4feiq”就是本次会话的密钥，需要与样本内置的密钥异或生成主密钥，再对“ddougvaz3zcfkg67ivlbxya”这个头部数据进行解密才能得到最终的数据格式。这么做的目的是因为上一个版本的数据HTTPS格式载荷易于被检测识别。
图3：Zloader家族DNS隧道
2.3
HTTPS协议加密通信的应用
使用HTTPS跟C&C地址进行通信，主要用于指令控制和载荷下发。每分钟有三个心跳上线流量。
图4：加密通信HTTPS
2.4
websocket通信技术的应用
Websocket中使用MASK标志位可以实现掩码加密，达到在流量侧加密数据的目的，解密密钥通常在载荷长度后4个字节的Masking-key字段；使用异或加密。流量产品检测此类攻击，需要支持动态执行异或解密并检测数据，一定程度上会导致性能开销增大。
图5：websocket加密通信
#
三、瞰云ENS检测
#
Zloader的HTTPS协议加密流量，可以通过AI模型结合TLS客户端、服务器限定域指纹综合研判进行检测。
图6：基于机器学习的Zloader-HTTPS通信告警
#
四、总结
攻防对抗无处不在，恶意程序在流量侧的加密和混淆都是为了绕过现有的流量检测手段。不管是利用DGA技术生成恶意域名、还是使用DNS隧道绕过防护，HTTPS和Websocket协议加密数据传输，都在说明木马的流量对抗技术在进步。观成科技将持续关注此类变化，并在检测能力上通过行为检测、AI机器学习等手段应对加密流量所带来的威胁。
往期回顾
REVIEW
【涨知识】以道高一丈，破加密魔盒-银狐木马最新变种加密技术全面揭秘
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：北京观成科技 Jo《【涨知识】Zloader木马家族加密流量分析》