搜索

[10604] 2016-10-15_无线宝宝wifi热点共享软件刷流量行为分析

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2016-10-15_无线宝宝wifi热点共享软件刷流量行为分析 无 线 宝 宝 w i f i 热 点 共 享 软 件 刷 流 量 行 为 分 析 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 6 - 1 0 - 1 5 近 日 ， 腾 讯 反 病 毒 实 验 室 截 获 到 了 大 量 通 过 传 入 特 殊 参 数 实 现 刷 流 量 行 为 的 恶 意 程 序 ， 经 过 回 溯 发 现 ， 这 些 恶 意 程 序 均 是 近 日 ， 腾 讯 反 病 毒 实 验 室 截 获 到 了 大 量 通 过 传 入 特 殊 参 数 实 现 刷 流 量 行 为 的 恶 意 程 序 ， 经 过 回 溯 发 现 ， 这 些 恶 意 程 序 均 是 由 某 由 某 w i f i 热 点 共 享 软 件 下 载 并 解 密 运 行 进 行 传 播 ， 感 染 量 非 常 大 。 该 恶 意 程 序 的 主 要 功 能 是 后 台 定 向 的 流 量 推 广 等 操 作 ， 目 热 点 共 享 软 件 下 载 并 解 密 运 行 进 行 传 播 ， 感 染 量 非 常 大 。 该 恶 意 程 序 的 主 要 功 能 是 后 台 定 向 的 流 量 推 广 等 操 作 ， 目 前 腾 讯 电 脑 管 家 已 全 面 拦 截 和 查 杀 。 前 腾 讯 电 脑 管 家 已 全 面 拦 截 和 查 杀 。 0 × 0 1   木 马 样 本 简 介 木 马 样 本 简 介 如 果 你 电 脑 上 存 在 C : P r o g r a m D a t a A p p D a t a * a p p （ W i n 7 ） 、 C : D o c u m e n t s   a n d S e t t i n g s A l l   U s e r s A p p l i c a t i o n   D a t a A p p D a t a * a p p   （ X P ） 目 录 ， 那 很 可 能 你 已 经 中 招 了 。 感 染 表 现 木 马 文 件 w i f i i n i t . d l l 是 南 宁 某 科 技 有 限 责 任 公 司 的 w i f i 热 点 共 享 软 件 — — W i f i B a b y ， 安 装 后 释 放 的 d l l 文 件 。 其 在 安 装 后 注 册 为 系 统 服 务 ， 主 要 功 能 为 从 服 务 端 获 取 需 要 执 行 的 任 务 ， 下 载 恶 意 程 序 到 本 地 并 执 行 。 其 下 载 的 恶 意 程 序 通 常 重 命 名 为 系 统 e x e ， 解 析 传 入 的 参 数 执 行 特 定 的 行 为 。 截 止 到 编 写 该 文 档 ， 分 析 到 的 大 部 分 行 为 为 后 台 刷 流 量 。 木 马 功 能 大 致 流 程 0 × 0 2   详 细 分 析 详 细 分 析 1 .   W i f i i n i t . d l l 行 为 分 析 行 为 分 析 W i f i b a b y 安 装 完 成 后 ， 在 其 安 装 目 录 下 会 生 成 W i f i i n i t . d l l ， 该 d l l 被 注 册 为 系 统 服 务 随 系 统 开 启 自 启 动 ， 并 与 驱 动 程 序 w i f i n a t . s y s 绑 定 。 其 导 出 函 数 大 部 分 为 服 务 安 装 与 卸 载 功 能 以 及 服 务 功 能 函 数 。
当 服 务 异 常 的 情 况 下 ， 驱 动 w i f i n a t . s y s 会 调 用 其 中 R u n d l l I n s t a l l 来 完 成 对 驱 动 、 服 务 的 重 新 安 装 。 经 过 分 析 ， 定 位 到 服 务 中 恶 意 行 为 部 分 主 要 外 层 代 码 如 下 ： 当 服 务 启 动 后 ， 首 先 判 断 是 否 有 w i n d b g 、 i d a 、 O l l D b g 、 W i r e s h a r k 、 S n i f f e r 等 进 程 存 在 ， 若 有 ， 则 不 触 发 恶 意 行 为 。 A n t i _ d e b u g 内 容 如 下 ： 若 未 发 现 调 试 工 具 ， 则 尝 试 与 服 务 器 获 取 联 系 ， 获 得 服 务 器 返 回 后 的 T a s k i d 结 构 体 后 。 程 序 会 在 G e t T a s k 函 数 里 另 起 一 个 进 程 来 处 理
获 取 到 的 T a s k i d ： 在 该 线 程 中 ， 首 先 按 程 序 自 身 的 协 议 构 造 包 含 有 任 务 派 发 u r l ： D i s p a t c h . s e . 1 7 w a n g w a n g . c o m 的 结 构 体 ， 而 后 以 u d p 形 式 与 服 务 器 进 行 通 信 ， 所 有 流 量 均 经 过 解 密 处 理 。 在 u d p 在 经 过 通 信 协 商 ， 并 获 取 到 T a s k i d 后 ， 程 序 首 先 删 除 现 有 A p p D a t a / { T a s k i d } a p p / 目 录 下 的 文 件 ， 此 后 再 遍 历 并 删 除 该 目 录 下 所 有 文 件 ： 而 后 ， 程 序 将 首 先 判 断 A p p D a t a 目 录 下 是 否 存 在 a p p . c f g ， a p p . c f g 是 一 个 s q l i t e 数 据 库 ， 其 以 t a s k i d 为 主 键 ， d a t a 字 段 中 存 放 对 应 t a s k i d 执 行 所 需 的 加 密 后 的 e x e 文 件 数 据 。 如 下 图 ： 若 a p p . c f g 文 件 不 存 在 ， 则 执 行 c r e a t e   t a b l e 新 建 一 个 数 据 s q l i t e 数 据 库 文 件 ： 若 存 在 a p p . c f g 文 件 ， 则 先 搜 索 数 据 库 ， 判 断 对 应 t a s k i d 所 需 的 e x e 是 否 存 在 ：
若 i d 存 在 ， 则 直 接 读 取 数 据 库 中 d a t a 字 段 ， 生 成 一 个 以 T a s k i d 命 名 的 r a w 文 件 ， 如 图 1 中 “ 7 9 ” 文 件 。 倘 若 该 i d 不 存 在 ， 则 再 次 解 析 服 务 端 返 回 的 数 据 ， 提 取 其 中 下 载 u r l 和 执 行 e x e 所 需 的 参 数 以 及 e x e 解 密 所 需 的 密 钥 。 提 取 到 u r l 后 ， 执 行 下 载 ： 下 载 成 功 后 ， 程 序 还 将 对 下 载 的 文 件 进 行 校 验 ， 判 断 其 大 小 及 m d 5 是 否 符 合 。 验 证 通 过 后 再 将 下 载 的 数 据 写 回 到 a p p . c f g ： 此 后 ， 程 序 将 其 解 密 并 以 常 见 的 系 统 进 程 名 对 其 重 命 名 。 再 通 过 获 取 到 的 T a s k i d 结 构 体 中 信 息 来 判 断 下 载 得 到 的 程 序 为 d l l 还 是 e x e ， 并 分 别 执 行 起 来 ： 在 G o t o R u n D l l 函 数 中 ， 程 序 将 加 载 该 d l l 并 调 用 其 中 P l u g W o r k 函 数 ， 传 入 获 取 到 的 t a s k i d 结 构 体 中 的 参 数 ： 同 样 ， 在 G o t o R u n E x e 中 ， 程 序 可 利 用 C r e a t e P r o c e s s A s U s e r W 以 及 C r e a t e P r o c e s s W ， 调 用 程 序 ： 由 上 可 知 ， 该 d l l 主 要 功 能 是 定 时 与 服 务 端 连 理 链 接 进 行 通 信 ， 获 取 任 务 。 解 析 任 务 结 构 体 ， 下 载 相 应 可 执 行 文 件 。 下 载 后 解 密 并 以 任 务 结 构 体 中 得 到 的 参 数 运 行 该 可 执 行 文 件 。 2 .   e x e 文 件 分 析 文 件 分 析
上 一 节 对 w i f i i n i t . d l l 的 分 析 可 以 知 道 ， w i f i i n i t . d l l 作 为 母 体 主 要 下 载 可 执 行 文 件 并 执 行 。 因 此 ， 对 下 载 回 来 的 可 执 行 文 件 进 行 分 析 是 必 不 可 少 的 。 在 样 本 回 溯 过 程 中 ， 笔 者 收 集 并 整 理 到 的 目 录 名 及 样 本 M D 5 对 应 关 系 如 下 （ 其 后 文 件 名 为 随 机 系 统 进 程 名 ） ： 由 于 e x e 文 件 过 多 ， 就 不 对 其 进 行 一 一 分 析 ， 下 文 将 抽 取 其 中 几 个 样 本 ， 大 致 描 述 其 功 能 。 这 一 些 列 可 执 行 程 序 都 是 需 要 传 入 特 殊 构 造 的 参 数 才 能 正 确 的 去 执 行 其 中 功 能 的 ， 以 其 中 一 个 样 本 为 例 ， 笔 者 截 获 到 其 中 的 一 条 参 数 如 下 ： 程 序 运 行 时 ， 首 先 会 判 断 是 否 安 装 有 杀 毒 软 件 ： 如 果 机 器 未 装 有 杀 毒 软 件 ， 则 对 程 序 传 入 的 参 数 进 行 解 密 ， 若 有 则 结 束 进 程 ： 其 解 密 部 分 代 码 用 p y t h o n 描 述 为 ： 将 刚 才 的 参 数 解 密 得 到 明 文 如 下 ： ├ ─ 4 4 a p p         6 d 8 d d 8 e 9 7 e 8 c 5 8 5 6 f 4 5 4 e b 2 3 2 3 c 5 d 4 3 d   * S e a r c h F i l t e r H o s t . e x e ├ ─ 5 0 a p p         f 4 1 5 8 1 0 f 3 e 5 1 3 6 2 4 c 4 0 8 1 8 0 9 7 9 2 4 0 2 b c   * S e a r c h F i l t e r H o s t . e x e ├ ─ 6 3 a p p         b 8 b 9 b 3 d 5 b 0 b a 8 2 2 6 0 f 3 d b 9 c 0 1 1 c 8 2 c 8 6         * t a s k m g r . e x e ├ ─ 6 5 a p p         b 2 d 8 b a d 6 a 7 9 4 9 b 1 f 2 9 0 2 2 1 5 e e c 8 7 5 8 1 5         * c t f m o n . e x e ├ ─ 7 4 a p p         1 7 0 7 2 c d 9 9 b 3 a 7 4 0 3 e 2 a f 8 8 3 d b 1 8 9 0 7 0 b         * t a s k h o s t . e x e ├ ─ 7 5 a p p         b d d 5 6 9 f 5 c 7 6 e 5 f 4 9 2 d 2 1 2 b 3 4 f 5 2 0 3 f c 5   * l s m . e x e ├ ─ 7 9 a p p         3 8 5 1 0 2 1 f 8 1 a d 2 e 6 2 f 5 2 d 5 1 e 0 b 5 3 f 6 c 1 c   * a l g . e x e ├ ─ 8 1 a p p         b 9 4 c 6 c 7 6 c 7 f 9 d 1 1 3 0 4 9 e 0 1 3 9 c a d b b 7 c 3 | b 9 4 c 6 c 7 6 c 7 f 9 d 1 1 3 0 4 9 e 0 1 3 9 c a d b b 7 c 3   * l s a s s . e x e ├ ─ 8 3 a p p         9 2 9 7 e d 5 7 e 3 f 0 4 f b 1 b c 5 b 2 0 e f d 9 1 d 0 a b 6   * S e a r c h P r o t o c o l H o s t . e x e └ ─ 8 5 a p p         4 e 9 e 1 b 1 c 1 5 2 5 2 1 f 3 1 1 1 e 9 2 e 4 d 0 f e 6 2 2 6 | 3 8 b 6 2 8 e d a b b a 1 d 5 f a e 6 f 9 3 c 7 5 8 2 e 0 a d 4   * s v c h o s t . e x e a 1 e 9 a 3 9 7 a 1 e 8 e f f 1 a 3 f 5 e 9 e 9 e d e e a 7 b 2 b 2 f 5 f c f 2 b 3 a e a b a d b 3 f e f 3 b 2 a 2 e e e f f e a 0 f 1 f 0 b b f 1 e e a 0 f 3 a c a b a e a 9 a 9 a c a 8 f e a 4 f c a 1 b 2 e 8 e f f 1 a 3 9 7 a 1 e 9 f 4 f 0 f 8 f 2 e 8 e 9 a 3 a e a b a d a d a 1 b 2 e 9 f 4 f 0 f 8 f 2 e 8 e 9 a 3 9 7 a 1 f e f 1 f 8 f c e f f e f 2 f 2 f 6 f 4 f 8 a 3 a e a b a d a 1 b 2 f e f 1 f 8 f c e f f e f 2 f 2 f 6 f 4 f 8 a 3 9 7 a 1 f 6 e a b d e a f 8 f 4 f a f 5 e 9 a 0 b f a 4 a d b f a 3 5 1 7 1 4 d 5 9 2 b 3 4 2 6 3 5 b 1 2 e 3 9 2 9 2 7 b d 5 e 5 d 5 0 5 8 5 0 5 8 2 4 2 7 5 0 6 5 b 1 4 a 6 b 2 9 6 f 5 1 3 8 4 d 7 5 2 b 7 d 5 4 4 4 5 a 3 3 a 1 b 2 f 6 e a a 3 9 7 a 1 e e f 8 f c e f f e f 5 c 2 e d f c f a f 8 b d e e e 9 f c e 4 a 0 b f a c a 8 b 1 a e a d b f b d e e f e e f f 2 f 1 f 1 a 0 b f a c b f b d f e f 1 f 4 f e f 6 a 0 b f a f b f b d f c f 9 c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a 8 a d b f b d e d f c f a f 8 c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a a a d b f b 2 a 3 9 7 a 1 f 0 f c f 4 f 3 c 2 e d f c f a f 8 b d e e e 9 f c e 4 a 0 b f a 9 a d b 1 a b a d b f b d e e f e e f f 2 f 1 f 1 a 0 b f a c b f b d f e f 1 f 4 f e f 6 a 0 b f a c b f b d f 1 e 9 c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a a a d b f b d e f e 9 c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a a a d b f b d e f f f c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a a a d b f b d f 1 f f c 2 e a f 8 f 4 f a f 5 e 9 a 0 b f a a a d b f b 2 a 3 9 7 a 1 f 2 e 9 f 5 f 8 e f c 2 e d f c f a f 8 b d e e e 9 f c e 4 a 0 b f a 9 a d b 1 a b a d b f b d e e f e e f f 2 f 1 f 1 a 0 b f a c b f b d f e f 1 f 4 f e f 6 a 0 b f a c b f b 2 a 3 9 7 a 1 b 2 e 9 a 3 d e f   d e c o d e ( b u f ) :         b u f   =   b i n a s c i i . a 2 b _ h e x ( b u f )         l e n t h   =   l e n ( b u f )         r e s u l t   =   [ ]         f o r   i   i n   b u f :                 r e s u l t . a p p e n d ( c h r ( ( o r d ( i )   ^   l e n t h )   &   0 x f f ) )         r e t u r n   " " . j o i n ( r e s u l t ) . d e c o d e ( ' g b 2 3 1 2 ' )
在 解 密 完 参 数 后 ， 程 序 将 对 其 进 行 解 析 ， 程 序 会 对 传 入 的 参 数 进 各 个 字 段 进 行 相 应 的 提 取 ： 最 后 并 访 问 其 中 网 址 ， 完 成 自 动 点 击 操 作 ： 在 R u n A u t o C l i c k 函 数 中 ， 程 序 将 首 先 随 机 获 取 一 个 浏 览 器 头 部 ， 而 后 解 析 传 入 的 解 密 后 的 参 数 ， 并 且 新 起 一 个 线 程 来 做 点 击 以 及 h t m l 页 面 解 析 的 工 作 ： 而 后 将 写 注 册 表 ， 设 置 特 定 的 浏 览 模 式 ： 再 按 照 传 入 的 参 数 设 置 窗 口 显 示 状 态 ： < t > < u r l > h t t p s : / / h a o . 3 6 0 . c n / ? s r c = l m & l s = n 1 6 3 4 4 1 5 c 9 a < / u r l > < t i m e o u t > 3 6 0 0 < / t i m e o u t > < c l e a r c o o k i e > 3 6 0 < / c l e a r c o o k i e > < k w   w e i g h t = " 9 0 " > 天 心 订 花 , 长 春   美 团 团 购 网 , 做 打 胎 需 多 少 钱 < / k w > < s e a r c h _ p a g e   s t a y = " 1 5 , 3 0 "   s c r o l l = " 1 "   c l i c k = " 2 "   a d _ w e i g h t = " 5 0 "   p a g e _ w e i g h t = " 7 0 " / > < m a i n _ p a g e   s t a y = " 4 0 , 6 0 "   s c r o l l = " 1 "   c l i c k = " 1 "   l t _ w e i g h t = " 7 0 "   r t _ w e i g h t = " 7 0 "   r b _ w e i g h t = " 7 0 "   l b _ w e i g h t = " 7 0 " / > < o t h e r _ p a g e   s t a y = " 4 0 , 6 0 "   s c r o l l = " 1 "   c l i c k = " 1 " / > < / t >
一 般 情 况 情 况 下 都 为 隐 藏 窗 口 ， 笔 者 将 其 手 动 p a t c h 后 ， 得 到 效 果 如 下 ： 自 动 打 开 网 址 并 翻 页 自 动 输 入 关 键 词 搜 索 并 点 击 进 入 搜 索 结 果 从 动 画 中 可 以 看 到 ， 该 e x e 可 谓 是 实 现 了 一 整 套 自 动 点 击 流 程 ， 完 美 实 现 了 后 台 静 默 刷 流 量 的 整 个 过 程 。 在 程 序 中 还 可 以 看 到 各 种 对 h t m l 页 面 的 解 析 等 代 码 ：
如 果 有 杀 毒 软 件 或 者 访 问 到 的 u r l 是 一 些 主 流 的 电 商 网 站 ， 则 停 止 ： 其 编 译 遗 留 的 信 息 也 挺 多 比 如 ： c : u s e r s f a n a n j i e d e s k t o p d i a n s h a n g _ j c c o d e x x x 导 航 A u t o C l i c k / S o g o u S e C l i c k M e t h o d . h 甚 至 还 有 大 量 的 类 名 、 方 法 名 。 如 ： C C r a s h : : W r i t e M i n i D u m p 、 C G l o b a l C r i t i c a l : : S e t N a m e 、 S o g o u S e C l i c k M e t h o d : : S e a r c h C l i c k I n p u t 从 命 名 上 看 ， 该 团 伙 的 工 程 意 识 也 是 很 强 的 ， 整 个 工 程 也 是 很 规 范 。 如 此 ， 这 个 e x e 的 也 就 分 析 到 这 里 了 。 再 看 另 一 系 列 e x e ， 以 b d d 5 6 9 f 5 c 7 6 e 5 f 4 9 2 d 2 1 2 b 3 4 f 5 2 0 3 f c 5 为 例 吧 ， 截 获 到 的 其 中 一 条 参 数 如 下 ： 猜 测 解 密 算 法 与 上 一 个 e x e 一 致 ， 解 密 后 得 到 内 容 如 下 ： p E x p l o r e r 可 以 看 到 该 可 执 行 文 件 中 含 有 名 为 F I L E 的 资 源 ， 并 且 是 一 个 可 执 行 文 件 ： 在 I D A 中 可 以 看 到 提 取 资 源 和 加 载 的 过 程 ， 这 里 主 要 关 注 这 个 资 源 中 程 序 的 启 动 方 式 。 在 得 到 资 源 数 据 后 ， 程 序 获 取 系 统 位 数 进 而 得 到 c t f m o n . e x e 的 绝 对 路 径 ： 5 7 1 f 4 b 0 a 5 6 4 9 5 8 5 b 5 b 5 b 1 7 5 e 5 b 1 7 4 9 4 b 1 8 5 6 4 9 0 3 1 f 1 f 1 b 5 1 4 4 4 4 1 c 1 c 1 c 4 5 0 d 0 2 0 5 0 f 5 d 5 c 5 3 4 5 0 8 0 4 0 6 4 4 5 f 2 e 5 8 2 9 5 9 5 d 2 e 2 9 5 2 2 d 2 9 2 d 5 f 5 b 0 9 0 f 2 9 2 d 2 d 2 d 2 d 2 d 2 d 5 c 2 8 5 9 2 8 5 b 2 d 5 9 2 8 2 d 4 5 1 b 0 3 1 b 4 9 5 5 5 7 1 b 4 b 0 a 5 6 4 9 5 a 5 9 5 b 4 7 5 a 5 e 5 b 1 7 5 b 1 7 5 b 1 7 5 a 5 b 4 9 4 4 5 5 5 7 4 4 1 f 5 5 < t   a = " 3 0 0 0 | 5 0 | "   s = " h t t p : / / w w w . f i n d 6 7 8 . c o m / 4 E 3 B 2 6 E B 9 F B F 4 0 b d B F F F F F F 7 C 2 C 0 F 2 C F . p h p " > < p   a = " 1 2 0 , 1 5 0 | 0 | 0 | 1 0 " / > < / t >
而 后 启 动 进 入 c r e a t e _ w r i t e _ m e m o r y 函 数 中 ， 其 主 要 代 码 如 下 ： 该 函 数 中 主 要 判 断 资 源 文 件 是 否 正 常 ， 并 且 提 取 其 中 . t e x t 段 ， 启 动 c t f m o n . e x e 并 将 代 码 注 入 到 c t f m o n 的 进 程 中 。 下 图 为 o d 调 试 可 见 提 取 . t e x t 段 操 作 。 提 取 到 数 据 后 ， 注 入 到 c t f m o n . e x e 进 而 运 行 起 来 ： 此 时 ， p c h u n t e r 看 到 的 l s a s s . e x e 进 程 与 c t f m o n . e x e 的 关 系 如 下 ： 由 此 便 可 知 道 该 进 程 为 了 躲 避 杀 毒 软 件 ， 所 使 用 的 启 动 方 式 了 。 由 解 密 后 的 参 数 可 知 ， 其 主 要 作 用 是 访 问 参 数 中 包 含 的 u r l ： h t t p : / / w w w . f i n d 6 7 8 . c o m / 4 E 3 B 2 6 E B 9 F B F 4 0 b d B F F F F F F 7 C 2 C 0 F 2 C F . p h p
i e 打 开 可 以 看 到 ， 整 个 页 面 充 斥 着 各 种 广 告 ： 在 其 源 码 中 还 存 有 各 类 刷 流 量 的 u r l ： 其 资 源 文 件 中 的 E X E 这 里 就 不 做 详 细 分 析 了 ， 还 有 很 多 样 本 大 致 行 为 也 几 乎 相 似 。 截 获 到 的 参 数 解 密 后 的 得 到 的 需 要 刷 流 量 的 u r l 有 以 下 这 些 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理