搜索

[10856] 2016-12-24_“净广大师”病毒HTTPS劫持技术深度分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-12-24_“净广大师”病毒HTTPS劫持技术深度分析 “ 净 广 大 师 ” 病 毒 H T T P S 劫 持 技 术 深 度 分 析 火 绒 安 全   F r e e B u f   2 0 1 6 - 1 2 - 2 4 一 、 背 景 一 、 背 景 一 、 背 景 一 、 背 景 近 期 ， 火 绒 团 队 截 获 一 个 由 商 业 软 件 携 带 的 病 毒 ， 并 以 其 载 体 命 名 为 近 期 ， 火 绒 团 队 截 获 一 个 由 商 业 软 件 携 带 的 病 毒 ， 并 以 其 载 体 命 名 为 “ 净 广 大 师 净 广 大 师 ” 病 毒 。 在 目 前 广 为 流 行 的 病 毒 。 在 目 前 广 为 流 行 的 “ 流 量 劫 持 流 量 劫 持 ” 类 病 类 病 毒 中 ， 该 病 毒 策 略 高 明 、 技 术 暴 力 ， 并 攻 破 毒 中 ， 该 病 毒 策 略 高 明 、 技 术 暴 力 ， 并 攻 破 H T T P S 的 的 “ 金 钟 罩 金 钟 罩 ” ， 让 百 度 等 互 联 网 厂 商 普 遍 使 用 的 反 劫 持 技 术 面 临 严 峻 挑 ， 让 百 度 等 互 联 网 厂 商 普 遍 使 用 的 反 劫 持 技 术 面 临 严 峻 挑 战 。 且 该 病 毒 驱 动 在 战 。 且 该 病 毒 驱 动 在 ” 净 广 大 师 净 广 大 师 “ 卸 载 后 仍 然 会 持 续 加 载 并 劫 持 百 度 搜 索 流 量 ， 行 为 及 其 恶 劣 。 卸 载 后 仍 然 会 持 续 加 载 并 劫 持 百 度 搜 索 流 量 ， 行 为 及 其 恶 劣 。 我 们 曾 在 此 前 报 告 （ “ 净 广 大 师 ” 病 毒 攻 破   H T T P S 防 线   劫 持 百 度 搜 索 流 量 牟 利 ） 中 进 行 过 病 毒 简 述 ， 本 文 中 我 们 将 对 “ 净 广 大 师 ” 病 毒 进 行 详 细 分 析 。 二 、 二 、   样 本 分 析 样 本 分 析 二 、 二 、   样 本 分 析 样 本 分 析 在 “ 净 广 大 师 ” 安 装 过 程 中 ， 我 们 注 意 到 “ A d A n t i . e x e ” 进 程 在 系 统 驱 动 目 录 下 释 放 了 一 个 隐 藏 的 文 件 名 为 “ r t d x f t e x . s y s ” 的 驱 动 。 如 下 图 所 示 ： 图 2 - 1 、 “ 净 广 大 师 ” 安 装 过 程   该 驱 动 是 “ A d A n t i . e x e ” 从 “ 净 广 大 师 ” 安 装 目 录 下 复 制 到 系 统 驱 动 目 录 的 ， 该 驱 动 有 3 2 位 和 6 4 位 两 个 版 本 ， 文 中 主 要 依 据 3 2 位 版 本 的 病 毒 驱 动 （ T d x F l t _ i 3 8 6 . s y s ） 进 行 分 析 。 如 下 图 所 示 ：
  图 2 - 2 、 病 毒 驱 动 文 件   在 病 毒 驱 动 加 载 后 ， 通 过 提 取 内 存 字 符 串 ， 我 们 获 得 到 了 更 多 与 病 毒 相 关 的 特 征 信 息 ， 而 且 这 些 特 征 在 静 态 状 态 下 是 无 法 在 病 毒 驱 动 文 件 中 提 取 到 的 。 如 下 图 所 示 ：
图 2 - 3 、 病 毒 驱 动 加 载 后 的 内 存 数 据   通 过 我 们 对 该 病 毒 驱 动 的 分 析 ， 我 们 发 现 该 驱 动 运 行 会 先 执 行 两 次 解 密 操 作 ， 第 一 个 解 密 后 获 得 驱 动 运 行 时 所 需 的 数 据 ， 第 二 个 解 密 操 作 可 以 得 到 一 个 病 毒 动 态 库 。 解 密 代 码 如 下 图 所 示 ： 图 2 - 4 、 病 毒 解 密 代 码   根 据 其 代 码 中 的 解 密 算 法 还 原 ， 我 们 可 以 解 密 出 该 驱 动 使 用 的 一 个 病 毒 动 态 库 和 在 其 内 部 使 用 的 一 些 关 键 的 数 据 ， 如 下 图 所 示 ：   图 2 - 5 、 病 毒 动 态 库 解 密   图 2 - 6 、 病 毒 数 据 解 密   通 过 对 病 毒 驱 动 的 分 析 ， 我 们 发 现 病 毒 会 将 其 解 密 后 的 动 态 库 通 过 A P C 注 入 的 方 式 注 入 到 “ e x p l o r e r . e x e ” 进 程 中 。 如 下 图 所 示 ：
图 2 - 7 、 病 毒 注 入 “ e x p l o r e r . e x e ” 代 码  
图 2 - 8 、 A P C 注 入 代 码 （ 1 ）  
图 2 - 9 、 A P C 注 入 代 码 （ 2 ）   在 病 毒 注 入 “ e x p l o r e r . e x e ” 之 后 ， 百 度 的 搜 索 链 接 便 会 被 劫 持 带 上 病 毒 制 造 者 的 计 费 I D 。 在 我 们 重 现 的 环 境 中 ， 该 病 毒 劫 持 到 的 计 费 I D 为 “ 9 3 7 1 8 1 5 4 _ h a o _ p g ” 。 如 下 图 所 示 ：
图 2 - 1 0 、 百 度 被 病 毒 劫 持   通 过 分 析 得 知 ， 该 病 毒 是 通 过 代 理 的 方 式 ， 以 中 间 人 攻 击 的 形 式 来 劫 持 H T T P S 流 量 。 如 下 图 所 示 ， 病 毒 驱 动 注 入 到 e x p l o r e r . e x e 进 程 的 代 码 会 监 听 1 0 1 0 0 端 口 。 图 2 - 1 1 、 注 入 后 e x p l o r e r 的 病 毒 代 码 劫 持 I E 的 联 网 请 求   当 浏 览 器 访 问 百 度 时 ， 病 毒 驱 动 会 将 连 向 百 度 （ 6 1 . 1 3 5 . 1 6 9 . 1 2 5 ） 4 4 3 端 口 （ H T T P S ） 的 链 接 重 定 向 到 本 地 的 1 0 1 0 0 监 听 端 口 ， e x p l o r e r 中 的 病 毒 代 码 再 代 替 浏 览 器 发 起 与 远 端 W e b 服 务 器 的 链 接 进 行 通 讯 。 该 病 毒 同 时 通 过 自 己 携 带 的 证 书 分 别 与 浏 览 器 和 远 端 W e b 服 务 器 完 成 S S L 握 手 ， 进 而 以 中 间 人 攻 击 的 形 式 完 全 控 制 H T T P S 链 路 通 信 。     通 过 对 该 病 毒 注 入 e x p l o r e r 的 动 态 库 进 行 分 析 ， 发 现 在 该 动 态 库 资 源 中 ， 我 们 可 以 看 到 病 毒 ” 劫 持 ” 所 用 到 的 S S L 证 书 。 如 下 图 所 示 ：  
图 2 - 1 3 、 病 毒 发 起 劫 持 所 用 到 的 S S L 证 书   在 病 毒 将 该 动 态 库 注 入 e x p l o r e r 后 ， 我 们 在 e x p l o r e r . e x e 进 程 的 内 存 块 中 也 同 样 可 以 提 取 到 与 上 图 相 同 的 证 书 数 据 。   图 2 - 1 4 、 e x p l o r e r . e x e 进 程 内 存 字 符 串     在 将 上 述 内 存 中 的 证 书 数 据 保 存 为 证 书 文 件 后 ， 将 其 与 病 毒 劫 持 证 书 进 行 对 比 ， 两 者 的 根 证 书 与 子 证 书 完 全 一 致 。 如 下 图 所 示 ：  
图 2 - 1 5 、 静 态 解 码 的 劫 持 证 书 （ 左 为 根 证 书 、 右 为 子 证 书 ）   图 2 - 1 6 、 被 劫 持 现 场 中 显 示 的 劫 持 证 书 （ 中 为 根 证 书 、 右 为 子 证 书 ）   三 、 三 、   同 源 性 分 析 同 源 性 分 析 三 、 三 、   同 源 性 分 析 同 源 性 分 析 通 过 在 火 绒 样 本 管 理 平 台 中 搜 索 “ 净 广 大 师 ” 病 毒 使 用 的 百 度 计 费 I D “ 9 3 7 1 8 1 5 4 _ h a o _ p g ” ， 我 们 得 到 了 少 量 关 联 样 本 。 如 图 所 示 ：
图 3 - 1 、 部 分 样 本 s h a 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理