搜索

[12786] 2018-06-04_挖矿木马借“XX的秘密”等小黄书疯传，中毒后会劫持比特币交易

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-06-04_挖矿木马借“XX的秘密”等小黄书疯传，中毒后会劫持比特币交易 挖 矿 木 马 借 “ X X 的 秘 密 ” 等 小 黄 书 疯 传 ， 中 毒 后 会 劫 持 比 特 币 交 易 F r e e B u f   2 0 1 8 - 0 6 - 0 4 以 下 文 章 来 源 于 腾 讯 御 见 威 胁 情 报 中 心   ， 作 者 腾 讯 电 脑 管 家 一 、 概 述 一 、 概 述 近 期 腾 讯 御 见 威 胁 情 报 中 心 捕 获 到 利 用 一 堆 色 情 类 电 子 书 （ 近 期 腾 讯 御 见 威 胁 情 报 中 心 捕 获 到 利 用 一 堆 色 情 类 电 子 书 （ c h m 格 式 ） 传 播 的 恶 意 挖 矿 病 毒 ， 病 毒 使 用 一 批 极 格 式 ） 传 播 的 恶 意 挖 矿 病 毒 ， 病 毒 使 用 一 批 极 具 诱 惑 力 的 文 件 名 （ 本 文 分 析 样 本 使 用 名 为 具 诱 惑 力 的 文 件 名 （ 本 文 分 析 样 本 使 用 名 为 “ 想 不 想 知 道 想 不 想 知 道 x x 之 间 的 秘 密 之 间 的 秘 密 . c h m ” ） 在 网 络 中 传 播 。 ） 在 网 络 中 传 播 。 病 毒 使 用 执 行 远 程 脚 本 的 方 法 ， 并 结 合 白 利 用 ， 代 码 混 淆 ， 无 文 件 内 存 装 载 等 技 术 来 躲 避 安 全 厂 商 的 查 杀 ， 受 害 者 一 旦 打 开 这 些 c h m 格 式 的 电 子 书 ， 病 毒 便 会 隐 藏 进 用 户 机 器 中 。 病 毒 目 前 行 为 主 要 有 释 放 挖 矿 病 毒 ， 安 装 C h r o m e 浏 览 器 恶 意 插 件 ， 在 用 户 交 易 虚 拟 加 密 币 时 劫 持 收 款 地 址 ， 盗 取 用 户 f a c e b o o k 帐 号 信 息 ， 并 自 动 在 f a c e b o o k 网 站 分 享 若 干 “ 小 黄 书 ” c h m 下 载 链 接 实 现 蠕 虫 式 的 传 播 。 二 、 样 本 分 析 二 、 样 本 分 析 c h m 文 档 结 构 如 下 图 ， 运 行 c h m 文 档 后 文 档 内 L o a d _ H T M L _ C H M 0 . h t m l 内 混 淆 的 脚 本 代 码 会 以 命 令 行 ” C : W i n d o w s S y s t e m 3 2 w s c r i p t . e x e ”   / b   C : / W i n d o w s / S y s t e m 3 2 / P r i n t i n g _ A d m i n _ S c r i p t s / z h - C N / p u b p r n . v b s   1 2 7 . 0 . 0 . 1 腾 讯 御 见 威 胁 情 报 中 心 腾 讯 御 见 威 胁 情 报 中 心   . 御 见 威 胁 情 报 中 心 ， 是 一 个 涵 盖 全 球 多 维 数 据 的 情 报 分 析 、 威 胁 预 警 分 析 平 台 。 依 托 顶 尖 安 全 专 家 团 队 支 撑 ， 帮 助 安 全 分 析 人 员 快 速 、 准 确 对 可 疑 事 件 进 行 预 警 、 溯 源 分 析 。
s c r i p t : h x x p : / / p n g . r e a l t i m e n e w s . t k / c h m . s c t 来 执 行 h x x p : / / p n g . r e a l t i m e n e w s . t k / c h m . s c t 内 的 远 程 脚 本 。 脚 本 代 码 通 过 访 问 一 个 外 部 链 接 的 图 片 q . p n g ， 并 查 找 图 片 数 据 中 的 t E X t ， i E N d 两 个 标 记 ， 截 取 t E X t + 4 位 置 到 i E N d - 8 处 的 文 件 内 容 ， B a s e 6 4 解 码 后 存 放 到 T e m p 目 录 以 t m p g . J p g 命 名 ， 并 用 R u n d l l 3 2 . e x e 拉 起 执 行 ， t m p g . J p g 其 实 为 一 个 带 有 导 出 函 数 V o i d F u n c 且 加 壳 的 D L L 。 截 取 p n g 中 隐 藏 数 据 q . p n g 表 象 上 看 为 一 个 透 明 背 景 中 心 发 亮 的 P N G 图 片 。 q . p n g 文 件 t E X t + 4 位 置 指 向 了 一 个 B A S E 6 4 编 码 的 P E 文 件 内 容 开 始 位 置 . q . p n g 文 件 i E N d - 8 指 向 了 一 个 B A S E 6 4 编 码 的 P E 文 件 内 容 末 尾 位 置 。
R u n d l l 3 2 . e x e 进 一 步 拉 起 执 行 t m p g . J p g t m p g . J p g 为 带 有 导 出 函 数 V o i d F u n c 的 D L L 被 R u n D l l 3 2 拉 起 的 t m p g . J p g 通 过 执 行 导 出 函 数 V o i d F u n ， 然 后 在 内 存 中 解 密 出 一 段 S h e l l c o d e ， 通 过 C r e a t e T h r e a d 的 方 式 执 行 起 来 。 创 建 线 程 执 行 S h e l l c o d e
S h e l l c o d e 代 码 通 过 遍 历 L D R 链 找 到 k e r n e l 3 2 模 块 ， 然 后 获 取 L o a d L i b r a r y A 的 地 址 ， 加 载 W i n i n e t 模 块 ， 然 后 获 得 一 系 列 网 络 操 作 函 数 I n t e r n e t C o n n e c t A , h t t p O p e n R e q u e s t A , h t t p S e n d R e q u e s t A 地 址 调 用 ， 最 终 向 域 名 d a z q c 4 f 1 4 0 w t l . c l o u d f r o n t . n e t 发 送 一 个 G e t 网 络 请 求 ， 并 使 用 I n t e r n e t R e a d F I l e 来 接 收 网 络 文 件 数 据 流 ， 请 求 域 名 藏 在 S h e l l c o d e 的 尾 部 。 S h e l l c o d e 装 载 W i n i n e t 模 块 G e t 请 求 域 名 藏 在 解 密 后 的 S h e l l c o d e 尾 部 通 过 抓 包 工 具 可 以 直 接 看 到 ， G e t 请 求 后 服 务 器 发 送 回 来 的 数 据 流 有 一 个 明 文 的 P E 文 件 ， 通 过 从 内 存 D u m p 出 该 模 块 可 知 该 模 块 还 是 一 个 D L L ， 并 使 用 反 射 式 加 载 的 方 法 ， 实 现 该 模 块 代 码 不 落 地 装 载 。
病 毒 G e t 请 求 后 返 回 的 明 文 P E 文 件 数 据 流 反 射 式 加 载 的 D L L 观 察 该 模 块 可 知 为 C o b a l t   S t r i k e 生 成 的 D L L 后 门 攻 击 模 块 ， 该 后 门 攻 击 模 块 数 据 交 互 支 持 H T T P 、 H T T P S 、 D N S 和 S M B 隧 道 协 议 ， 本 次 样 本 使 用 H T T P 协 议 的 方 式 进 行 通 信 交 互 ， 后 门 攻 击 模 块 首 先 通 过 异 或 0 x 6 9 解 密 出 上 线 配 置 信 息 。 使 用 异 或 解 密 配 置 信 息 解 密 后 的 后 门 明 文 C 2 信 息 ， U r l 、 U s e r A g e n t 信 息
通 过 抓 包 时 可 获 得 服 务 器 下 发 指 令 ， 指 令 中 有 指 向 远 程 脚 本 连 接 明 显 字 段 h x x p : / / d 3 g o b o x o n 3 2 g r k 2 l . t k / r e g 9 . s c t ， 该 指 令 主 要 为 实 现 挖 矿 行 为 。 下 发 指 令 信 息 远 程 脚 本 r e g 9 . s c t 会 在 系 统 中 添 加 两 个 启 动 项 ， p s 5 . t x t 为 一 个 H t m l 页 面 ， 其 中 夹 杂 混 淆 的 v b s 脚 本 代 码 ， r e g 9 . s c t 启 动 项 保 证 其 自 身 远 程 脚 本 逻 辑 每 次 开 机 执 行 ， 并 结 合 w m i c 展 开 持 久 性 攻 击 。 相 关 脚 本 代 码 启 动 项
之 后 r e g 9 . s c t 脚 本 通 过 访 问 h x x p : / / d 3 g o b o x o n 3 2 g r k 2 l . t k / g d 3 2 . t x t   或 者 g d 6 4 . t x t 链 接 获 取 文 件 流 数 据 然 后 再 本 地 t e m p 目 录 创 建 启 动 一 个 名 为 e x p l o r e . e x e 的 进 程 ， 其 中 会 判 断 系 统 版 本 进 一 步 适 配 x 8 6 或 x 6 4 的 对 应 程 序 。 创 建 运 行 挖 矿 程 序 . t x t 后 缀 文 本 实 际 为 加 V m p 壳 的 e x e 可 执 行 文 件 观 察 挖 矿 内 部 信 息 可 知 为 挖 矿 端 程 序 ， 矿 池 和 钱 包 地 址 以 明 文 形 式 存 放 。 除 此 外 ， 矿 机 程 序 还 会 访 问 执 行 h x x p : / / d o w n . c a c h e o f f e r . t k / d 2 / r e g 9 . s c t 、 h x x p : / / x m r . e n j o y t o p i c . t k / d 2 / r e g 9 . s c t 两 个 地 址 中 的 远 程 脚 本 ， 分 析 时 d o w n . c a c h e o f f e r . t k / d 2 / r e g 9 . s c t 脚 本 已 经 清 空 内 容 ， 不 排 除 以 后 病 毒 作 者 继 续 使 用 的 可 能 性 ， x m r . e n j o y t o p i c . t k / d 2 / r e g 9 . s c t 中 的 脚 本 会 再 次 拉 取 挖 矿 程 序 和 添 加 病 毒 启 动 项 来 确 保 病 毒 正 常 运 行 。 r e g 9 . s c t 自 身 也 会 释 放 名 为 e v i l 或 e v i l 2 的 j s 脚 本 到 T e m p 目 录 执 行 ， j s 脚 本 的 运 行 同 样 是 为 了 确 保 挖 矿 病 毒 运 行 成 功 。 挖 矿 病 毒 内 明 文 内 容 病 毒 使 用 门 罗 币 钱 包 当 前 信 息
p s 5 . t x t 内 有 一 个 混 淆 的 v b s 脚 本 文 件 ， 脚 本 代 码 执 行 后 会 带 参 数 结 合 d o t n e t 静 态 方 法 执 行 P o w e r S h e l l ， 整 理 后 的 d o t n e t 相 关 代 码 分 析 可 知 ， 作 用 为 申 请 内 存 创 建 线 程 来 执 行 一 段 B a s e 6 4 编 码 过 的 S h e l l c o d e 。 p s 5 . t x t 中 混 淆 的 v b s 脚 本 代 码 如 图 所 示 P w o e r S h e l l 去 混 淆 后 的 d o t n e t 代 码 对 S h e l l c o d e 解 码 可 知 与 文 章 开 头 的 t m p g . J p g 中 的 S h e l l c o d e 代 码 相 似 度 极 高 ， 依 然 会 尝 试 读 取 网 络 文 件 ， 不 同 点 是 隐 藏 在 S h e l l c o d e 尾 部 的 域 名 改 为 了 s s l 2 . b l o c k b i t c o i n . c o m ， 分 析 时 测 试 该 域 名 已 暂 时 无 法 解 析 ， 不 排 除 以 后 病 毒 团 伙 会 再 次 启 用 。 同 样 藏 在 S h e l l c o d e 尾 部 的 域 名 r e g 9 . s c t 最 后 还 会 拉 起 一 个 带 d o t n e t 方 法 参 数 的 P o w e r S h e l l ， 此 处 参 数 混 淆 的 方 法 与 p s 5 . t x t 处 相 比 主 要 为 数 据 压 缩 方 式 上 有 不 同 ， 整 理 混 淆 代 码 后 分 析 可 知 为 从 云 端 拉 取 一 个 f s . p n g 的 文 件 数 据 ， 此 文 件 与 文 章 开 头 使 用 脚 本 拉 取 的 q 文 件 一 样 是 个 透 明 背 景 的 图 片 ， 并 且 在 图 片 内 部 通 过 标 签 t E X t + 4 和 标 签 I E N D - 1 2 定 位 到 图 片 中 以 B A S E 6 4 编 码 的 S h e l l c o d e 代 码 ， 解 码 后 S h e l l c o d e 中 隐 藏 了 一 个 D L L ， S h e l l c o d e 主 要 功 能 为 加 载 这 个 D L L 。
混 淆 的 P o w e r S h e l l 参 数 整 理 混 淆 后 的 相 关 代 码 图 片 中 解 码 出 的 S h e l l c o d e 文 件 D L L 恶 意 代 码 执 行 后 会 查 找 C h r o m e 进 程 ， 如 果 当 前 C h r o m e 进 程 正 在 运 行 ， 则 结 束 掉 C h r o m e 进 程 ， 然 后 以 静 默 的 方 式 释 放 安 装 C h r o m e . c r x 插 件 包 ， 进 一 步 达 到 劫 持 用 户 比 特 币 交 易 接 受 地 址 ， 窃 取 用 户 f a c e b o o k 社 交 帐 号 和 利 用 社 交 帐 号 进 一 步 分 享 恶 意 的 c h m 文 档 传 播 的 功 能 。 查 找 结 束 C h o m e 浏 览 器 进 程
创 建 C h r o m e . c r x 插 件 包 创 建 C h r o m e 文 件 夹 并 在 其 中 创 建 名 为 s e c . v b e ， m a n i f e s t . j s o n ， b a c k g r o u n d . j s ， c o n t e n t . j s ， p a g e . j s 的 脚 本 文 件 。 运 行 s e c . v b e 脚 本 ， 作 用 为 装 载 C h r o m e . c r x 插 件 包 。 下 图 为 安 装 插 件 包 时 的 命 令 行 ， 可 知 使 用 — s i l e n t - l a u n c h 参 数 来 隐 藏 浏 览 器 窗 口 安 装 插 件 ， 观 察 插 件 相 关 的 混 淆 j s 脚 本 代 码 可 知 ， 插 件 主 要 功 能 为 替 换 虚 拟 货 币 交 易 时 的 收 款 地 址 ， 二 维 码 信 息 。 此 外 ， 还 会 窃 取 社 交 站 点 帐 号 密 码 ， 然 后 下 载 c h m 文 档 并 上 传 到 社 交 站 点 恶 意 的 c h m 分 享 连 接 来 进 一 步 传 播 。 插 件 包 安 装 命 令 行
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理