搜索

[13902] 2019-03-23_传奇私服暗藏杀机，亡灵病毒肆虐江湖

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-03-23_传奇私服暗藏杀机，亡灵病毒肆虐江湖 传 奇 私 服 暗 藏 杀 机 ， 亡 灵 病 毒 肆 虐 江 湖 F r e e B u f   2 0 1 9 - 0 3 - 2 3 以 下 文 章 来 源 于 安 全 豹   ， 作 者 金 山 毒 霸 概 况 概 况 以 《 传 奇 》 为 代 表 的 各 大 游 戏 私 服 非 法 运 营 活 动 长 期 泛 滥 ， 在 国 内 游 戏 地 下 黑 产 圈 内 堪 称 独 树 一 帜 ， 围 绕 游 戏 以 《 传 奇 》 为 代 表 的 各 大 游 戏 私 服 非 法 运 营 活 动 长 期 泛 滥 ， 在 国 内 游 戏 地 下 黑 产 圈 内 堪 称 独 树 一 帜 ， 围 绕 游 戏 暴 利 的 争 夺 导 致 各 大 私 服 运 营 者 之 间 斗 争 加 剧 ， 频 繁 利 用 网 络 劫 持 、 暴 利 的 争 夺 导 致 各 大 私 服 运 营 者 之 间 斗 争 加 剧 ， 频 繁 利 用 网 络 劫 持 、 D D O S 等 技 术 手 段 进 行 等 技 术 手 段 进 行 ” 攻 城 掠 地 攻 城 掠 地 ” ， 所 以 ， 所 以 私 服 客 户 端 一 直 都 是 顽 固 病 毒 家 族 繁 殖 传 播 的 沉 疴 宿 疾 。 为 了 对 抗 竞 争 者 、 外 挂 和 安 全 厂 商 ， 私 服 客 户 端 经 常 私 服 客 户 端 一 直 都 是 顽 固 病 毒 家 族 繁 殖 传 播 的 沉 疴 宿 疾 。 为 了 对 抗 竞 争 者 、 外 挂 和 安 全 厂 商 ， 私 服 客 户 端 经 常 捆 绑 各 类 捆 绑 各 类 R o o t k i t / B o o t k i t 类 顽 固 病 毒 ， 并 且 盗 用 冒 用 正 常 软 件 数 字 签 名 逃 避 查 杀 防 御 ， 采 用 类 顽 固 病 毒 ， 并 且 盗 用 冒 用 正 常 软 件 数 字 签 名 逃 避 查 杀 防 御 ， 采 用 V M P 等 虚 拟 机 强 壳 等 虚 拟 机 强 壳 保 护 对 抗 分 析 。 作 为 刚 性 强 需 求 ， 普 通 游 戏 用 户 会 往 往 无 视 安 全 软 件 查 杀 拦 截 提 示 ， 反 而 主 动 放 行 恶 意 驱 动 模 保 护 对 抗 分 析 。 作 为 刚 性 强 需 求 ， 普 通 游 戏 用 户 会 往 往 无 视 安 全 软 件 查 杀 拦 截 提 示 ， 反 而 主 动 放 行 恶 意 驱 动 模 块 的 加 载 ， 最 终 导 致 网 络 浏 览 异 常 、 系 统 蓝 屏 崩 溃 、 感 染 盗 号 木 马 等 严 重 安 全 后 果 。 块 的 加 载 ， 最 终 导 致 网 络 浏 览 异 常 、 系 统 蓝 屏 崩 溃 、 感 染 盗 号 木 马 等 严 重 安 全 后 果 。 近 期 ， 毒 霸 安 全 团 队 通 过 “ 捕 风 ” 系 统 再 次 监 测 到 一 类 劫 持 R o o t k i t 病 毒 家 族 的 活 跃 迹 象 ， 该 病 毒 家 族 主 要 通 过 各 类 私 服 客 户 端 进 行 捆 绑 传 播 ， 主 要 通 过 T D I 过 滤 、 D N S 劫 持 、 H T T P ( s ) 注 入 、 H O S T S 重 定 向 等 技 术 手 法 篡 改 用 户 系 统 网 络 数 据 包 ， 将 正 常 网 页 访 问 劫 持 引 流 至 指 定 私 服 网 站 ， 并 利 用 安 全 软 件 云 查 杀 数 据 包 屏 蔽 、 关 机 回 调 重 写 等 手 段 实 现 对 抗 查 杀 ， 此 外 ， 该 家 族 还 针 对 私 服 运 营 竞 争 对 手 常 用 的 病 毒 驱 动 签 名 进 行 屏 蔽 对 抗 ， 实 现 长 期 稳 定 劫 持 控 制 用 户 的 目 的 。 根 据 其 模 块 p d b 路 径 中 的 项 目 名 称 ” f k _ u n d e a d ” ， 我 们 将 其 命 名 为 ”   亡 灵   ”   家 族 。   从 我 们 的 长 期 监 控 数 据 看 ， 该 家 族 近 两 年 非 常 活 跃 ， 从 2 0 1 7 年 初 开 始 盗 用 正 规 厂 商 数 字 签 名 频 繁 变 种 传 播 ， 本 次 变 种 版 本 最 早 出 现 于 2 0 1 8 年 1 0 左 右 ， 目 前 该 家 族 呈 现 活 跃 趋 势 ， 全 网 累 计 感 染 量 预 估 超 过 5 0 万 。 技 术 分 析 技 术 分 析 该 病 毒 的 主 要 运 行 流 程 如 下 ： 病 毒 驱 动 从 恶 意 传 奇 私 服 客 户 端 层 层 释 放 而 来 ， 根 据 系 统 版 本 的 不 同 ， 最 终 释 放 不 同 的 驱 动 文 件 ， 我 们 以 其 中 一 个 样 本 为 例 。 安 全 豹 安 全 豹   . 专 注 网 络 安 全 ， 分 享 更 多 优 质 文 章 。
用 户 打 开 传 奇 私 服 客 户 端 之 后 ， 程 序 释 放 n t p r i n t . e x e 到 T E M P 目 录 下 ， n t p r i n t . e x e 主 要 负 责 上 报 相 关 配 置 信 息 到 指 定 服 务 器 ， 上 报 完 成 后 会 下 载 h t t p : / / 1 8 3 . 2 . 1 9 3 . 1 4 7 : 1 1 1 5 3 / m s v c d l x . d a t 到 本 地 ， 而 这 个 m s v c d l x . d a t 又 会 下 载 4 个 驱 动 文 件 到 本 地 ， 这 4 个 驱 动 文 件 的 大 致 用 途 如 下 ： （ （ 1 ） ） m s t x d l x * . d a t 以 6 4 位 系 统 下 释 放 的 驱 动 （ m s t x d l x 6 4 . d a t ） 为 例 ， 它 主 要 的 作 用 是 通 过 劫 持 用 户 电 脑 的 网 络 以 及 篡 改 相 关 系 统 配 置 ， 从 而 达 到 拦 截 杀 软 云 查 询 以 及 劫 持 H T T P 的 正 常 访 问 ， 具 体 实 现 方 式 如 下 ： A 、 注 册 、 注 册 T D I 回 调 函 数 ， 过 滤 收 发 包 回 调 函 数 ， 过 滤 收 发 包 病 毒 驱 动 加 载 后 ， 对 T D I S E N D 和 T D I S E T E V E N T H A N D L E R 进 行 了 处 理 ， 前 者 主 要 是 负 责 网 络 数 据 的 发 包 ， 后 者 则 是 负 责 对 接 收 到 网 络 数 据 进 行 处 理 ， 对 这 两 个 地 方 进 行 过 滤 处 理 之 后 ， 带 来 的 效 果 就 是 访 问 A 域 名 ， 实 际 打 开 的 却 是 B 网 站 。 在 T D I _ S E N D 中 ， 通 过 检 测 3 6 0 与 其 云 端 的 通 讯 时 的 关 键 字 段 “ x - 3 6 0 - v e r : ” ， 中 断 云 查 询 ， 从 而 造 成 云 查 杀 的 失 效 ： 在 T D I S E T E V E N T _ H A N D L E R 中 ， 收 到 符 合 规 则 的 请 求 响 应 数 据 后 ， 病 毒 直 接 修 改 数 据 包 ， 嵌 入 相 应 的 H T M L 框 架 代 码 进 行 劫 持 ， 劫 持 后 效 果 如 下 ：
以 下 则 是 被 篡 改 插 入 的 数 据 包 代 码 ： B 、 、   设 置 设 置 I E 代 理 ， 劫 持 代 理 ， 劫 持 H T T P 访 问 访 问 通 常 在 设 置 了 T D I 过 滤 之 后 ， 就 已 经 实 现 对 网 络 的 全 局 管 理 了 ， 而 设 置 I E 代 理 的 目 的 ， 猜 测 是 为 了 在 病 毒 驱 动 被 杀 软 清 理 后 ， 依 旧 能 够 长 期 劫 持 网 站 访 问 所 用 。 I E 的 代 理 配 置 信 息 由 云 端 实 时 下 发 ， 相 关 配 置 文 件 下 载 地 址 为 1 0 6 . 1 4 . 4 7 . 2 1 0 : 1 1 0 5 4 / p a c l i s t . d a t ， 可 根 据 需 要 ， 实 时 变 换 文 件 内 容 ， 文 件 中 的 内 容 为 B A S E 6 4 加 密 后 的 信 息 ， 解 密 后 为 p a l l . n d y p k h . c o m : 5 0 5 1 1 / a u t o 1 1 0 3 7 . p a c ：
链 接 指 向 一 个 混 淆 后 的 p a c 脚 本 文 件 ， 去 混 淆 后 内 容 包 含 大 量 私 服 网 站 的 U R L 信 息 ， 当 程 序 使 用 I E 的 代 理 设 置 ， 并 且 访 问 到 列 表 中 的 网 站 时 ， 就 会 被 统 一 劫 持 跳 转 至 1 1 4 . 5 5 . 2 3 4 . 2 7 : 1 0 0 0 0 （ k u s f . c o m ） ： 根 据 对 劫 持 名 单 的 梳 理 ， 除 去 私 服 网 站 ， 被 劫 持 跳 转 的 部 分 主 流 网 站 还 有 ：
C 、 创 建 关 机 回 调 ， 劫 持 、 创 建 关 机 回 调 ， 劫 持 D N S 和 自 更 新 和 自 更 新 在 关 机 回 调 中 ， 该 病 毒 驱 动 主 要 做 了 劫 持 D N S 和 自 更 新 这 两 件 事 情 。 通 过 访 问 1 0 6 . 1 4 . 4 7 . 2 1 0 : 1 1 0 5 4 / d n l i s t . d a t 下 载 劫 持 的 D N S 配 置 信 息 ， 然 后 在 关 机 回 调 中 设 置 电 脑 的 D N S ， 从 而 完 成 D N S 的 修 改 劫 持 ， 虽 然 目 前 被 修 改 的 D N S 是 正 常 的 ， 但 由 于 此 配 置 信 息 由 云 端 下 发 ， 所 以 不 排 除 后 期 病 毒 作 者 会 设 置 恶 意 的 D N S 配 置 信 息 ： 接 着 ， 病 毒 又 会 访 问 1 2 0 . 7 7 . 3 6 . 1 8 4 : 1 1 0 5 4 / m s t x d l x 6 4 _ u p . d a t ， 下 载 最 新 版 本 的 驱 动 文 件 ， 并 且 随 机 命 名 保 存 ， 然 后 以 服 务 的 方 式 在 下 次 开 机 时 自 启 动 ， 完 成 更 新 ： D 、 、   创 建 映 像 加 载 回 调 ， 拦 截 其 它 病 毒 运 行 创 建 映 像 加 载 回 调 ， 拦 截 其 它 病 毒 运 行 在 映 像 加 载 回 调 中 ， 为 了 确 保 被 感 染 的 电 脑 能 够 被 自 己 成 功 劫 持 ， 当 检 测 到 当 前 加 载 的 是 驱 动 程 序 时 ， 还 会 对 比 签 名 是 否 为 黑 名 单 中 的 签 名 （ 黑 名 单 从 1 0 6 . 1 4 . 4 7 . 2 1 0 : 1 1 0 5 4 / b c t l i s t . d a t 下 载 而 来 ） ， 若 符 合 拦 截 规 则 ， 则 直 接 禁 止 加 载 ， 黑 名 单 中 的 驱 动 签 名 如 下 ， 这 些 签 名 大 多 曾 被 同 类 型 病 毒 盗 用 过 ， 用 来 给 自 身 恶 意 程 序 签 名 ：
E 、 、   创 建 注 册 表 回 调 ， 保 护 自 身 启 动 创 建 注 册 表 回 调 ， 保 护 自 身 启 动 在 注 册 表 回 调 中 ， 若 发 现 有 对 I E 代 理 设 置 和 驱 动 服 务 类 注 册 表 项 的 操 作 ， 则 直 接 拒 绝 访 问 ， 防 止 相 关 注 册 表 项 被 修 改 。 除 此 之 外 ， 病 毒 还 会 循 环 枚 举 注 册 表 回 调 函 数 的 地 址 ， 若 检 测 到 被 删 除 ， 则 会 再 次 注 册 回 调 函 数 ， 这 么 做 为 了 防 止 用 户 利 用 p c h u n t e r 之 类 的 A R K 工 具 对 回 调 函 数 进 行 删 除 操 作 ， 使 病 毒 难 以 被 手 动 清 除 。 但 如 果 是 病 毒 程 序 自 身 升 级 需 要 修 改 相 关 的 注 册 表 项 时 ， 则 会 利 用 开 关 标 记 来 暂 停 对 相 关 注 册 表 项 的 保 护 。 F 、 、   下 载 配 置 信 息 ， 实 时 更 新 劫 持 信 息 下 载 配 置 信 息 ， 实 时 更 新 劫 持 信 息 上 述 的 整 个 劫 持 的 流 程 ， 无 需 与 3 环 进 程 交 互 ， 完 全 由 0 环 的 驱 动 实 现 ， 而 相 关 的 配 置 信 息 ， 也 统 一 从 远 程 服 务 器 下 载 ， 具 体 的 配 置 文 件 信 息 如 下 ：
（ （ 2 ） ） m s d v d l x * . d a t 该 驱 动 加 载 后 ， 会 在 下 次 开 机 时 ， 劫 持 s v c h o s t 进 程 对 本 地 h o s t s 文 件 的 访 问 ， 本 地 h o s t s 的 基 本 作 用 是 把 一 些 常 用 的 域 名 和 I P 关 联 起 来 ， 当 用 户 输 入 一 个 网 址 时 ， 会 先 从 本 地 的 h o s t s 文 件 寻 找 对 应 的 I P ， 从 而 加 速 解 析 的 速 度 ， 但 如 果 劫 持 了 本 地 h o s t s 文 件 的 话 ， 就 可 能 返 回 错 误 的 I P 地 址 。 该 病 毒 驱 动 主 要 通 过 注 册 一 个 关 机 回 调 函 数 ， 在 该 回 调 函 数 中 加 载 释 放 n e t m s v c . d l l 到 s y s t e m 3 2 目 录 下 ， 然 后 注 册 N e t M S v c 这 个 服 务 项 ， 以 确 保 之 后 每 次 开 机 都 能 正 常 加 载 这 个 D L L 。 而 n e t m s v c . d l l 又 释 放 驱 动 c b f l t f s 3 . s y s 到 了 T E M P 目 录 下 ， 这 个 c b f l t f s 3 . s y s 是 C a l l b a c k   T e c h n o l o g i e s 公 司 提 供 的 一 个 的 文 件 过 滤 器 驱 动 ： 其 封 装 了 大 量 的 文 件 操 作 A P I 供 使 用 者 使 用 ， 在 n e t m s v c . d l l 中 ， 通 过 添 加 对 h o s t s 文 件 的 拦 截 规 则 ， 即 ： 当 s v c h o s t 进 程 访 问 e t c 目 录 下 的 h o s t s 文 件 时 ， 则 会 重 定 向 到 r i n g e n d . m i d ：
r i n g e n d . m i d 这 份 劫 持 名 单 ， 由 n e t m s v c . d l l 从 h t t p : / / 1 0 6 . 1 4 . 4 7 . 2 1 0 : 1 1 1 5 3 / h s t s l i s t . d a t 下 载 而 来 ， 伪 装 成 系 统 声 音 文 件 保 存 在 C : W i n d o w s m e d i a 下 ， 其 内 容 则 是 被 劫 持 的 域 名 和 要 跳 转 到 I P ， 部 分 会 被 劫 持 的 网 站 截 图 如 下 ：
当 访 问 的 正 常 网 站 被 劫 持 后 ， 访 问 到 的 结 果 如 下 ：
而 m s d v d l x * . d a t 自 己 也 会 实 时 从 1 2 0 . 7 7 . 3 6 . 1 8 4 : 1 1 1 5 3 / m s d v d l x 3 2 _ u p . d a t 下 载 更 新 ， 升 级 自 身 ： （ （ 3 ） ） m s h s d l x * . d a t 该 驱 动 主 要 用 于 安 装 根 证 书 ， 从 而 劫 持 使 用 了 H T T P S 的 网 站 。 驱 动 加 载 后 ， 会 释 放 证 书 文 件 到 c : W i n d o w s S S L 下 并 安 装 ， 释 放 出 来 的 S a m p l e   C A   2 . c e r 是 一 个 根 证 书 ， 会 以 受 信 任 的 根 证 书 颁 发 机 构 形 式 安 装 到 系 统 中 ， 这 一 步 主 要 是 为 了 后 续 在 对 H T T P S 网 站 进 行 劫 持 时 ， 浏 览 器 不 会 发 出 警 告 ， 而 这 也 是 常 见 的 中 间 人 攻 击 的 方 式 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理