SmokeBuster versus SmokeLoader

Die Forscher vom Zscaler ThreatLabz-Team haben deshalb das Anti-Malware-Tool SmokeBuster entwickelt, um die SmokeLoader-Malware (auch unter dem Namen Dofoil bekannt) auf infizierten Systemen aufzuspüren und zu entfernen. Dabei haben die Forscher Fehler in neueren Versionen der Malware entdeckt, die die Performance eines infizierten Systems beeinträchtigen.

Da SmokeLoader seit über zwei Jahren nicht mehr aktualisiert wurde, könnten Tools wie SmokeBuster, die Infektionen erkennen und beheben können, sein Ende beschleunigen. Dies ist besonders offensichtlich, da SmokeLoader inhärente Fehler enthält, die die Leistung eines infizierten Systems erheblich beeinträchtigen.

SmokeBuster unterstützt 32-Bit- und 64-Bit-Instanzen von SmokeLoader und die Versionen 2017-2022. Das Tool ist mit Windows 7 bis Windows 11 kompatibel und bietet einen Deinstallationsbefehl, der robuster ist als die SmokeLoader-eigene Deinstallationsfunktion. Bei der SmokeLoader eigenen Deinstallationsroutine bleiben Artefakte im Speicher zurück und einige Versionen bereinigen die Disk oder Registry nicht vollständig.

SmokeLoader besteht hauptsächlich aus zwei Komponenten: einem Stager und einem Hauptmodul. Die Aufgabe des Stagers besteht darin, das Hauptmodul zu entschlüsseln, zu dekomprimieren und in einen explorer.exe-Prozess zu injizieren. Das Hauptmodul führt die Kernfunktionen der Malware aus, einschließlich der Herstellung der Persistenz, der Kommunikation mit der C2-Infrastruktur und der Verarbeitung von Befehlen.

Während der Entwicklung von SmokeBuster hat Zscaler  festgestellt, dass SmokeLoader zahlreiche Fehler enthält. In den Versionen 2018 bis 2022 führen mehrere dieser Fehler dazu, dass SmokeLoader die Leistung eines infizierten Systems erheblich verlangsamt. Dies ist auf eine Kombination aus Codierungsfehlern in der Persistenz-Implementierung, den Überprüfungen auf das Vorhandensein laufender Infektionen und Fehlern bei der angemessenen Bereinigung von Threads und Prozessspeicher zurückzuführen.

Die Deinstallationsfunktionen von SmokeBuster im Überblick:

• Schließen der SmokeLoader Mutex-Vorgehensweise
• Schließen der SmokeLoader Vorgehensweise von offenen Dateien, was benötigt wird, um benutzte Dateien zu löschen
• Löschen der ausführbaren Datei von SmokeLoader, von Plugins und geplanten Aufgaben
• Löschen von Installationsverzeichnissen
• Beenden von SmokeLoader Threads ( oder explorer.exe Prozessen für Version 2017)
• Zuordnung von SmokeLoader explorer.exe aufheben
• Beenden des SmokeLoader Plugin-Prozesses

SmokeBuster hat darüber hinaus ein Feature implementiert, das es Malware-Analysten ermöglicht, SmokeLoaders Threads zu beenden, auszusetzen oder aufzunehmen. Damit kann die SmokeLoader-Funktion aufgehoben werden, die die Malware-Erkennung durch Analyse-Tools behindert. Serienmäßig werden die meisten Versionen von SmokeLoader in der Sektion von PAGE_EXECUTE_READ in explorer.exe abgelegt. Als Folge davon sind Debugger nicht in der Lage, Software-Breakpunkte zu setzen oder den Code zu patchen. Hier setzt SmokeBuster durch ein Remapping der SmokeLoader Memory-Sektionen an und durchbricht diesen Prozess mit Hilfe von PAGE_EXECUTE_READWRITE-Berechtigungen.

Researchers from the Zscaler ThreatLabz team developed the SmokeBuster anti-malware tool to detect and remove the SmokeLoader malware (also known as Dofoil) from infected systems. The researchers discovered bugs in newer versions of the malware that degrade the performance of an infected system.

Since SmokeLoader has not been updated in over two years, tools like SmokeBuster that can detect and fix infections could hasten its demise. This is especially true as SmokeLoader has inherent flaws that significantly degrade the performance of an infected system.

SmokeBuster supports 32-bit and 64-bit instances of SmokeLoader and versions 2017-2022. It is compatible with Windows 7 through Windows 11 and provides an uninstall command that is more robust than SmokeLoader’s own uninstall feature. SmokeLoader’s own uninstaller leaves artifacts in memory and some versions do not completely clean the disk or registry.

SmokeLoader consists of two main components: a stager and a main module. The task of the stager is to decrypt, decompress and inject the main module into an explorer.exe process. The main module performs the core functions of the malware, including establishing persistence, communicating with the C2 infrastructure, and processing commands.

During the development of SmokeBuster, Zscaler discovered that SmokeLoader contains numerous bugs. In versions 2018 to 2022, several of these bugs cause SmokeLoader to significantly slow down the performance of an infected system. This is due to a combination of coding errors in the persistence implementation, the checks for the presence of running infections, and errors in the proper cleanup of threads and process memory.

The uninstall features of SmokeBuster at a glance:

– Close the SmokeLoader mutex procedure

– Close the SmokeLoader open file handler needed to delete used files.

– Delete the SmokeLoader executable, plugins and scheduled tasks

– Delete installation directories

– Terminate SmokeLoader threads (or explorer.exe processes for version 2017)

– Remove the SmokeLoader explorer.exe association

– Killing the SmokeLoader plugin process

SmokeBuster has also implemented a feature that allows malware analysts to terminate, suspend or include SmokeLoader threads. This can be used to override the SmokeLoader feature that interferes with malware detection by analysis tools. By default, most versions of SmokeLoader are placed in the PAGE_EXECUTE_READ section of explorer.exe. As a result, debuggers are unable to set software breakpoints or patch the code. This is where SmokeBuster comes in, remapping the SmokeLoader memory sections and breaking this process using PAGE_EXECUTE_READWRITE permissions.