搜索

[11760] 2017-09-09_HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-09_HTTPS劫匪木马暴力升级：破坏ARK攻击杀软 H T T P S 劫 匪 木 马 暴 力 升 级 ： 破 坏 A R K 攻 击 杀 软 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 9 - 0 9 目 前 ， 越 来 越 多 的 网 站 开 始 注 册 证 书 ， 提 供 对 目 前 ， 越 来 越 多 的 网 站 开 始 注 册 证 书 ， 提 供 对 H T T P S 的 支 持 ， 保 护 自 己 站 点 不 被 劫 持 。 而 作 为 对 立 面 的 流 量 劫 持 攻 的 支 持 ， 保 护 自 己 站 点 不 被 劫 持 。 而 作 为 对 立 面 的 流 量 劫 持 攻 击 ， 也 开 始 将 矛 头 对 准 击 ， 也 开 始 将 矛 头 对 准 H T T P S ， 其 中 最 常 见 的 一 种 方 法 便 是 伪 造 证 书 ， 做 中 间 人 劫 持 。 ， 其 中 最 常 见 的 一 种 方 法 便 是 伪 造 证 书 ， 做 中 间 人 劫 持 。 不 久 前 ， 3 6 0 发 布 了 《 “ 移 花 接 木 ” 偷 换 广 告 ： H T T P S 劫 匪 木 马 每 天 打 劫 2 0 0 万 次 网 络 访 问 》 的 相 关 预 警 。 近 日 ， 3 6 0 互 联 网 安 全 中 心 又 发 现 一 款 名 为 “ 跑 跑 火 神 多 功 能 辅 助 ” 的 外 挂 软 件 中 附 带 的 劫 持 木 马 ， 该 木 马 可 以 看 作 是 之 前 劫 持 木 马 的 加 强 版 ， 其 运 行 后 加 载 R o o t K i t 木 马 驱 动 大 肆 劫 持 导 航 及 电 商 网 站 ， 利 用 中 间 人 攻 击 手 法 劫 持 H T T P S 网 站 ， 同 时 还 阻 止 常 见 A R K 工 具 （ A n t i - R o o t k i t ， 检 测 查 杀 内 核 级 木 马 的 专 业 工 具 ） 运 行 ， 破 坏 杀 软 正 常 功 能 。 图 1 根 据 我 们 的 数 据 分 析 ， 该 木 马 不 仅 存 在 于 多 种 外 挂 软 件 中 ， 同 时 也 包 含 于 网 络 上 流 传 的 众 多 所 谓 “ 系 统 盘 ” 中 。 一 旦 有 人 使 用 这 样 的 系 统 盘 装 机 ， 就 等 于 是 让 电 脑 装 机 就 感 染 了 流 量 劫 持 木 马 。 模 块 分 工 示 意 图 ：
图 2 作 恶 行 为 ： 作 恶 行 为 ： 作 恶 行 为 ： 作 恶 行 为 ： 1 、 进 行 软 件 推 广 ： 、 进 行 软 件 推 广 ： 程 序 中 硬 编 码 了 从 指 定 地 址 下 载 安 装 小 黑 记 事 本 等 多 款 软 件 ： 图 3
  图 4 2 、 破 坏 杀 毒 软 件 ： 、 破 坏 杀 毒 软 件 ： 通 过 检 测 文 件 p d b 文 件 名 信 息 来 检 测 判 断 A r k 工 具 ， 检 测 到 后 直 接 结 束 进 程 并 删 除 相 应 文 件 ， 如 图 所 示 检 测 了 ： P C H u n t e r ( 原 X u e T r ) 、 W i n A S T 、 P o w e r T o o l 、 K e r n e l   D e t e c t i v e 等 ， 和 所 有 顽 固 木 马 一 样 ， H T T P S 劫 匪 也 把 3 6 0 急 救 箱 列 为 攻 击 目 标 。
图 5 删 除 杀 软 L o a d I m a g e 回 调 ： 图 6
图 7 阻 止 网 盾 模 块 加 载 , 其 阻 止 的 列 表 如 下 ： 图 8 3 、 进 行 流 量 劫 持 、 进 行 流 量 劫 持 木 马 会 云 控 劫 持 导 航 及 电 商 网 站 ， 利 用 中 间 人 攻 击 手 法 ， 支 持 劫 持 h t t p s 网 站
图 9   中 间 人 攻 击 示 意 图 驱 动 调 用 B l a c k B o n e 代 码 将 y y q g . d l l 注 入 到 w i n l o g o n . e x e 进 程 中 执 行 ,
图 1 0 B l a c k B o n e 相 关 代 码 ：
图 1 1 y y q g . d l l 还 会 导 入 其 伪 造 的 一 些 常 见 网 站 的 s s l 证 书 ， 导 入 证 书 的 域 名 列 表 如 下 ：
图 1 2 替 换 的 百 度 的 S S L 证 书 :
图 1 3 图 1 4 通 过 云 控 控 制 需 要 劫 持 网 站 及 劫 持 到 目 标 网 站 列 表 ： 云 控 地 址 采 用 的 是 使 用 D N S : 1 1 4 . 1 1 4 . 1 1 4 . 1 1 4 （ 备 用 为 ： 谷 歌 D N S ： 8 . 8 . 8 . 8 以 及 3 6 0 D N S ： 1 0 1 . 2 2 6 . 4 . 6 ） 解 析 d n s . 5 4 4 7 . m e 的 T X T 记 录 得 到 的 连 接 ： 获 取 云 控 连 接 地 址 部 分 代 码 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理