搜索

[10545] 2016-09-26_远控盗号木马伪装成850Game作恶

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-09-26_远控盗号木马伪装成850Game作恶 远 控 盗 号 木 马 伪 装 成 8 5 0 G a m e 作 恶 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 6 - 0 9 - 2 6 前 言 前 言 近 期 ， 近 期 ， 3 6 0 Q V M 团 队 捕 获 到 一 类 在 网 上 广 泛 传 播 的 远 控 盗 号 木 马 ， 该 木 马 伪 装 为 正 规 棋 牌 游 戏 团 队 捕 获 到 一 类 在 网 上 广 泛 传 播 的 远 控 盗 号 木 马 ， 该 木 马 伪 装 为 正 规 棋 牌 游 戏 8 5 0 G a m e 的 安 装 程 序 ， 在 伪 的 安 装 程 序 ， 在 伪 造 的 钓 鱼 网 站 （ 如 ： 造 的 钓 鱼 网 站 （ 如 ： w w w . g a m 8 5 0 . c o m ） 上 挂 马 并 诱 骗 用 户 下 载 。 ） 上 挂 马 并 诱 骗 用 户 下 载 。 木 马 一 旦 入 侵 电 脑 ， 将 盗 用 包 括 主 机 名 、 系 统 版 本 、 磁 盘 信 息 、 键 盘 操 作 信 息 等 数 据 ， 并 进 一 步 实 现 窃 取 游 戏 账 号 及 远 程 木 马 一 旦 入 侵 电 脑 ， 将 盗 用 包 括 主 机 名 、 系 统 版 本 、 磁 盘 信 息 、 键 盘 操 作 信 息 等 数 据 ， 并 进 一 步 实 现 窃 取 游 戏 账 号 及 远 程 控 制 等 恶 意 操 作 。 控 制 等 恶 意 操 作 。 伪 造 的 8 5 0 G a m e 钓 鱼 网 站 木 马 伪 装 木 马 伪 装 木 马 制 作 者 将 木 马 程 序 和 游 戏 棋 牌 程 序 捆 绑 在 一 起 进 行 传 播 ， 当 用 户 开 始 安 装 后 ， 程 序 除 了 在 “ C : P r o g r a m   F i l e s ” 下 安 装 8 5 0 棋 牌 游 戏 外 ， 还 会 在 C 盘 目 录 下 创 建 一 个 隐 藏 文 件 夹 “ $ M S R e c y c l e . B i n ” ， 并 在 其 中 释 放 木 马 程 序 并 将 其 执 行 起 来 。 有 了 正 常 安 装 程 序 做 “ 伪 装 ” ， 该 盗 号 木 马 可 以 在 用 户 毫 不 知 情 的 情 况 下 侵 入 电 脑 。 木 马 分 析 木 马 分 析
“ $ M S R e c y c l e . B i n ” 目 录 下 的 “ T s i S e r v i c e . e x e ” 执 行 后 ， 会 读 取 同 目 录 下 的 “ x p . i o s ” 进 行 解 密 再 通 过 加 载 到 内 存 中 执 行 。 通 过 解 密 算 法 对 “ $ M S R e c y c l e . B i n ” 目 录 下 “ x p . i o s ” 进 行 解 密 ， 我 们 就 能 得 到 木 马 程 序 。 解 密 前 解 密 后 遍 历 进 程 ， 检 测 杀 软
连 接 C C 地 址 ： w w w . g a m 5 6 4 . c o m ， 端 口 为 1 9 9 9 9 获 取 用 户 信 息 获 取 主 机 名
获 取 系 统 版 本 通 过 c m d 命 令 创 建 g u e s t 用 户 ， 并 提 升 权 限 置 管 理 员 通 过 将 $ M S R e c y c l e . B i n ” 目 录 下 的 M i c r o R e c y c l e . d l l 添 加 到 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t R a s A d m i n D l l d l l p a t h 中 实 现 开 机 启 动 获 取 键 盘 信 息
除 了 上 面 描 述 的 行 为 外 ， 程 序 还 会 开 启 计 算 机 3 3 8 9 端 口 、 远 程 接 受 命 令 、 创 建 用 户 等 等 行 为 ， 这 里 就 不 再 赘 述 了 。 考 虑 到 最 近 有 大 量 用 户 反 馈 遇 到 很 多 这 样 伪 装 成 棋 牌 游 戏 的 站 点 ， 我 们 对 上 述 伪 造 棋 牌 游 戏 的 木 马 涉 及 的 域 名 信 息 （ g a m 8 5 0 . c o m ） 继 续 进 行 追 查 ， 我 们 得 到 了 该 域 名 的 所 有 者 的 名 称 和 联 系 邮 箱 。 通 过 查 询 该 邮 箱 进 行 邮 件 反 查 ， 得 到 这 个 邮 箱 关 联 的 两 个 域 名 。 而 9 9 3 g a m e . c o m 同 样 也 是 一 个 伪 装 成 棋 牌 游 戏 的 网 站 ， 下 载 的 电 脑 版 的 游 戏 大 厅 程 序 也 是 一 个 木 马 程 序 ， 功 能 与 g a m 8 5 0 . c o m 中 的 木 马 程 序 差 不 多 ， 就 不 再 重 复 了 。 整 理 前 面 获 取 域 名 的 信 息 ， 我 们 将 两 个 域 名 进 行 简 单 的 关 联 ： 在 后 续 的 样 本 分 析 过 程 中 ， 又 发 现 一 些 网 站 同 样 是 通 过 伪 造 成 g a m e 8 5 0 棋 牌 游 戏 进 行 传 播 木 马 程 序 ， 域 名 如 下 表 ：
从 g a m e b b . t w 下 载 的 8 5 0 l o b b y . e x e 这 个 伪 装 成 棋 牌 游 戏 的 程 序 ， 它 在 执 行 安 装 的 过 程 中 会 先 在 临 时 目 录 中 创 建 正 常 的 g a m e 8 5 0 游 戏 安 装 包 并 将 其 执 行 ， 给 用 户 一 种 程 序 正 在 正 常 安 装 的 假 象 。 其 实 ， 它 在 后 续 的 过 程 中 会 在 C : W I N D O W S 下 释 放 一 个 木 马 程 序 ， 随 后 再 利 用 创 建 的 v b s 脚 本 将 自 身 删 除 。 木 马 的 主 要 主 要 行 为 ： 连 接 C C 地 址 ： w u u . u s 拷 贝 自 身 到 C : W I N D O W S 目 录 ， 文 件 名 为 随 机 的 6 个 字 母 。 添 加 D i r e c t X 服 务 项 实 现 开 机 自 启 动 ， 达 到 常 驻 受 害 者 电 脑 的 目 的 创 建 v b s 脚 本 将 执 行 程 序 自 身 删 除 遍 历 进 程 ， 检 测 杀 软 程 序 联 网 下 载 文 件 获 取 用 户 信 息 （ 主 机 名 、 系 统 版 本 、 磁 盘 信 息 、 用 户 名 、 C P U 信 息 等 等 ）
开 启 3 3 8 9 端 口 、 键 盘 记 录 、 远 程 接 受 命 令 、 创 建 用 户 等 等 同 样 的 ， 我 们 也 对 b y 8 5 0 . c o m 下 载 的 8 5 0 l o b b y . e x e 进 行 了 简 单 的 分 析 ， 这 个 伪 装 棋 牌 游 戏 的 木 马 程 序 主 要 行 为 有 ： 将 植 入 远 控 木 马 的 时 间 存 到 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s F S k c i a   m s m a o w a w 中 的 M a r k T i m e 通 过 在 1 1 5 . 2 8 . 7 2 . 2 1 2 : 8 0 8 0 上 下 载 正 常 的 8 5 0 棋 牌 游 戏 到 C 盘 目 录 下 并 执 行 ， 伪 造 程 序 正 在 正 常 安 装 的 假 象 。 将 木 马 程 序 自 身 添 加 到 启 动 文 件 夹 中 ， 实 现 开 机 自 启 连 接 C C 地 址 ： w w w 8 8 3 6 9 . c o m 遍 历 进 程 ， 检 测 杀 软 获 取 用 户 信 息 （ 主 机 名 、 系 统 版 本 、 磁 盘 信 息 、 用 户 名 、 C P U 信 息 等 等 ） 开 启 3 3 8 9 端 口 、 键 盘 记 录 、 远 程 接 受 命 令 、 创 建 用 户 等 等 继 续 对 这 两 个 木 马 程 序 访 问 的 两 个 C C 地 址 进 行 追 查 得 到 这 两 个 域 名 的 注 册 人 和 注 册 邮 箱 信 息 。 而 从 木 马 的 主 要 行 为 来 看 ， 这 些 伪 造 棋 牌 游 戏 的 木 马 都 比 较 相 似 ， 猜 测 这 批 伪 装 成 8 5 0 棋 牌 游 戏 网 站 的 站 点 背 后 的 操 作 者 很 有 可 能 是 同 一 伙 人 。
传 播 方 式 传 播 方 式 由 分 析 可 知 ， 这 一 批 木 马 程 序 都 是 通 过 伪 装 成 棋 牌 游 戏 进 程 传 播 木 马 ， 现 将 这 一 批 伪 装 成 棋 牌 游 戏 的 网 站 整 理 如 下 ： 通 过 查 询 域 名 持 有 者 的 邮 箱 信 息 ， 整 理 得 到 这 一 批 伪 装 成 棋 牌 游 戏 网 站 的 域 名 持 有 者 邮 箱 信 息 如 下 ： 通 过 整 篇 分 析 下 来 ， 我 们 发 现 这 些 伪 造 成 棋 牌 游 戏 的 木 马 所 涉 及 的 技 术 相 当 普 通 。 它 们 只 不 过 是 幕 后 的 那 些 操 作 者 通 过 注 册 与 正 规 棋 牌 游 戏 域 名 相 似 的 域 名 ， 并 将 木 马 与 棋 牌 游 戏 捆 绑 在 一 起 上 传 到 伪 装 成 棋 牌 游 戏 的 站 点 上 诱 骗 用 户 下 载 。 最 后 提 醒 广 大 用 户 ， 在 上 网 时 切 勿 轻 易 点 击 来 历 不 明 的 邮 件 附 件 、 网 页 链 接 以 及 推 广 广 告 等 ， 同 时 要 做 好 安 全 防 护 措 施 ， 不 要 轻 易 透 露 个 人 信 息 ， 切 实 提 高 防 范 意 识 和 自 防 能 力 ， 避 免 造 成 不 必 要 的 损 失 。 *   企 业 账 号 ： 3 6 0 安 全 卫 士 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理