搜索

[13500] 2018-12-05_首个“微信支付”勒索木马覆灭记

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-05_首个“微信支付”勒索木马覆灭记 首 个 “ 微 信 支 付 ” 勒 索 木 马 覆 灭 记 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 1 2 - 0 5 “ 微 信 支 付 微 信 支 付 ” 勒 索 病 毒 传 播 始 末 勒 索 病 毒 传 播 始 末 U N N A M E D 1 9 8 9 ” 微 信 支 付 微 信 支 付 ” 勒 索 病 毒 让 不 少 用 户 过 了 一 个 不 平 静 的 周 末 ， 文 件 无 法 正 常 打 开 ， 重 要 数 据 被 加 勒 索 病 毒 让 不 少 用 户 过 了 一 个 不 平 静 的 周 末 ， 文 件 无 法 正 常 打 开 ， 重 要 数 据 被 加 密 。 在 用 户 一 筹 莫 展 之 际 ， 密 。 在 用 户 一 筹 莫 展 之 际 ， 3 6 0 安 全 卫 士 迅 速 推 出 了 解 密 工 具 ， 帮 用 户 解 决 了 数 据 被 加 密 的 难 题 。 但 病 毒 从 何 而 安 全 卫 士 迅 速 推 出 了 解 密 工 具 ， 帮 用 户 解 决 了 数 据 被 加 密 的 难 题 。 但 病 毒 从 何 而 来 ， 以 后 又 该 如 何 预 防 呢 ？ 本 文 将 对 这 个 事 件 做 一 次 全 面 分 析 ， 帮 助 用 户 一 起 应 对 此 类 勒 索 病 毒 威 胁 。 来 ， 以 后 又 该 如 何 预 防 呢 ？ 本 文 将 对 这 个 事 件 做 一 次 全 面 分 析 ， 帮 助 用 户 一 起 应 对 此 类 勒 索 病 毒 威 胁 。 感 染 原 理 感 染 原 理 分 析 感 染 原 理 之 前 ， 我 们 先 从 此 次 勒 索 病 毒 的 传 播 源 说 起 ， 在 之 前 的 报 告 中 ， 我 们 已 经 提 到 ， 受 感 染 机 器 多 是 由 于 使 用 了 “ 辅 助 外 挂 ” ， 由 这 些 外 挂 携 带 的 木 马 下 载 器 造 成 的 感 染 。 那 为 什 么 会 有 这 么 多 的 外 挂 软 件 同 时 携 带 这 款 病 毒 呢 ？ 是 这 些 外 挂 作 者 开 发 了 这 个 木 马 下 载 器 和 勒 索 病 毒 么 ？ 带 着 这 个 疑 问 ， 我 们 深 入 分 析 发 现 ， 受 影 响 的 软 件 集 中 在 易 语 言 编 写 的 程 序 上 ， 更 进 一 步 分 析 显 示 ， 他 们 使 用 了 同 样 的 被 感 染 的 易 语 言 库 文 件 ， 造 成 编 译 发 布 的 外 挂 辅 助 软 件 均 被 感 染 了 本 次 的 下 载 器 木 马 。 那 这 些 被 感 染 的 库 文 件 从 何 而 来 的 呢 ， 我 们 在 网 上 找 到 了 线 索 。 该 带 毒 模 块 最 初 是 经 由 一 名 用 户 发 布 到 “ 精 易 论 坛 ” 的 ， 以 模 块 源 码 分 享 的 名 义 传 播 恶 意 模 块 ：   而 精 易 论 坛 的 管 理 人 员 也 发 现 了 有 人 利 用 论 坛 传 播 木 马 ， 对 相 关 事 件 进 行 了 处 理 和 说 明 ： h t t p s : / / b b s . 1 2 5 . l a / t h r e a d - 1 4 2 7 4 7 1 6 - 1 - 1 . h t m l 经 分 析 ， 该 代 码 模 块 中 确 实 夹 杂 了 “ 私 货 ” 。 使 用 这 个 模 块 编 译 出 来 的 程 序 ， 会 向 特 定 目 录 下 释 放 恶 意 程 序 ：  
其 次 ， 恶 意 模 块 还 会 访 问 两 个 指 定 的 U R L 网 址 ： 而 这 两 个 U R L 网 址 ， 和 我 们 之 前 分 析 的 下 载 者 木 马 所 访 问 的 网 络 配 置 文 件 地 址 相 同 ， 其 内 容 是 被 黑 客 加 密 过 的 配 置 信 息 （ 内 容 现 已 被 编 辑 ） ：  
在 木 马 读 取 到 上 述 配 置 信 息 后 ， 会 到 本 地 解 密 成 明 文 的 配 置 内 容 。 这 其 中 ， 就 含 有 一 个 名 为 J i n g Y i M o K u a i . e c 的 易 语 言 库 文 件 和 一 个 名 为 “ k r n l n s t a t i c 5 . 7 . l i b ” 的 静 态 链 接 库 文 件 。 下 载 器 木 马 会 查 找 系 统 中 的 下 载 器 木 马 会 查 找 系 统 中 的 “ 精 易 模 块 精 易 模 块 * . e c ” 、 、 “ J i n g Y i M o K u a i . e c ” 以 及 以 及 “ k r n l n _ s t a t i c . l i b ” 文 件 ， 并 使 用 网 上 下 载 文 件 ， 并 使 用 网 上 下 载 的 这 两 个 模 块 ， 替 换 本 地 对 应 的 模 块 ， 污 染 这 台 计 算 机 的 开 发 环 境 ： 的 这 两 个 模 块 ， 替 换 本 地 对 应 的 模 块 ， 污 染 这 台 计 算 机 的 开 发 环 境 ： 也 就 是 说 ， 恶 意 代 码 的 扩 散 并 不 仅 仅 局 限 于 木 马 自 身 的 传 播 ， 还 会 通 过 污 染 开 发 环 境 ， 利 用 其 他 开 发 者 进 行 二 次 传 播 ， 即 ： 1 . 原 始 攻 击 者 A 发 布 了 隐 藏 有 恶 意 功 能 的 代 码 模 块 ； 2 . 其 他 开 发 者 B 从 论 坛 获 取 了 上 述 模 块 ， 并 加 入 到 其 开 发 环 境 中 ， 这 样 B 所 开 发 的 程 序 就 同 样 带 有 了 恶 意 功 能 ； 3 . 如 果 B 开 发 的 一 个 工 具 被 其 它 开 发 者 使 用 ， 比 如 C ， 则 开 发 者 C 可 能 会 因 为 使 用 了 这 个 开 发 工 具 也 导 致 自 己 开 发 的 软 件 被 感 染 ； 4 . 用 户 D 使 用 C 开 发 的 软 件 时 ， 也 会 遭 到 恶 意 代 码 的 入 侵 。 如 上 所 述 ， 即 便 最 终 的 用 户 D 不 知 道 原 始 攻 击 者 A ， 也 从 没 用 过 他 的 软 件 。 但 依 然 难 逃 被 其 间 接 攻 击 的 命 运 。 更 形 象 的 传 播 扩 散 流 程 图 如 下 ：  
这 类 直 接 感 染 源 代 码 或 代 码 编 译 程 序 手 法 并 非 首 次 出 现 ， 2 0 1 5 年 9 月 ， 就 曾 出 现 过 震 惊 世 界 的 i O S 应 用 感 染 X C o d e G h o s t 病 毒 的 事 件 。 由 于 大 量 苹 果 开 发 者 使 用 了 被 感 染 的 X C o d e 开 发 工 具 ， 导 致 众 多 i O S 应 用 携 带 了 恶 意 代 码 ， 盗 取 用 户 信 息 。 这 其 中 甚 至 包 括 了 很 多 几 乎 所 有 人 都 会 使 用 的 一 些 “ 必 备 应 用 ” ， 也 均 未 能 幸 免 。 同 样 ， 就 在 上 个 月 也 发 生 过 类 似 的 案 件 — — 一 款 热 门 J a v a S c r i p t 库 被 黑 客 植 入 了 恶 意 代 码 。 而 使 用 C o p a y 的 用 户 一 旦 访 问 含 有 该 J S 库 文 件 的 网 页 就 有 可 能 被 窃 取 钱 包 中 的 比 特 币 ：
在 追 溯 过 程 中 我 们 发 现 ， “ 微 信 支 付 ” 勒 索 病 毒 作 者 早 在 2 0 1 7 年 就 开 始 制 作 并 传 播 恶 意 软 件 ， 在 2 0 1 8 年 4 月 已 经 开 始 尝 试 ， 在 开 发 者 论 坛 散 布 携 带 病 毒 的 项 目 ， 下 面 是 其 今 年 攻 击 过 程 的 一 个 时 间 轴 ， 可 以 看 出 攻 击 者 是 做 了 大 量 准 备 的 ， 经 过 长 时 间 测 试 后 才 对 外 正 式 传 播 病 毒 。 受 影 响 用 户 受 影 响 用 户 我 们 统 计 了 这 次 被 感 染 的 软 件 ， 目 前 共 计 整 理 出 9 1 8 款 软 件 ， 这 个 数 量 还 在 进 一 步 增 加 。 其 中 绝 大 部 分 是 辅 助 类 软 件 ， 可 以 看 出 有 大 量 辅 助 工 具 的 开 发 环 境 中 招 ， 这 也 造 成 更 多 使 用 这 些 辅 助 工 具 的 用 户 受 到 威 胁 。 下 面 是 部 分 受 影 响 的 辅 助 工 具 的 文 件 名 截 图 ：
我 们 抽 取 了 其 中 的 一 些 关 键 词 ， 可 以 据 此 看 到 被 攻 击 群 体 的 一 些 特 点 ： 完 整 的 列 表 可 以 到 此 链 接 处 下 载 ： h t t p s : / / y u n p a n . 3 6 0 . c n / s u r l _ y H y X q C q K t a t 开 发 者 和 用 户 都 可 以 检 查 一 下 ， 自 己 发 布 或 者 使 用 的 软 件 是 否 在 其 中 ，   如 果 发 现 有 自 己 使 用 过 的 软 件 ， 请 尽 快 使 用 3 6 0 安 全 卫 士 清 除 机 器 中 隐 藏 的 病 毒 木 马 ！ 主 要 危 害 主 要 危 害 木 马 下 载 器 木 马 下 载 器 无 论 是 恶 意 易 语 言 代 码 模 块 ， 还 是 被 感 染 的 应 用 程 序 。 都 会 进 一 步 下 载 更 多 的 恶 意 软 件 到 受 害 用 户 机 器 中 执 行 。 其 工 作 流 程 如 下 图 ：  
在 传 播 的 最 后 阶 段 ， 木 马 母 体 会 通 过 读 取 网 络 配 置 文 件 的 形 式 获 取 包 括 M y S Q L 、 F T P 、 自 身 更 新 地 址 以 及 病 毒 分 发 列 表 等 一 系 列 信 息 ：   这 其 中 的 d o w n U R L 2 2 字 段 所 对 应 的 地 址 ， 就 是 后 续 的 “ 病 毒 木 马 大 礼 包 ” 。 而 在 配 置 文 件 中 所 给 出 的 F T P 服 务 器 中 ， 我 们 看 到 了 与 前 文 中 所 写 的 G i t h u b 中 相 同 的 配 置 文 件 ： 其 内 容 如 下 ：
同 时 ， 分 析 人 员 还 在 里 面 发 现 了 部 分 木 马 源 码 ， 使 用 了 与 此 木 马 相 似 的 C & C 服 务 器 ： 信 息 窃 取 信 息 窃 取 / 源 码 窃 取 源 码 窃 取 此 外 ， 同 样 在 配 置 文 件 中 给 出 的 M y S Q L 数 据 库 目 前 已 无 法 连 接 。 我 们 目 前 无 法 获 知 其 中 的 具 体 数 据 内 容 。 但 根 据 木 马 母 体 中 的 代 码 可 以 看 出 ， 该 母 体 会 与 M y S Q L 数 据 库 保 持 通 信 ， 并 获 取 其 中 的 指 令 信 息 。 在 获 取 到 指 令 后 ， 会 根 据 指 令 进 行 对 应 的 操 作 ， 功 能 列 表 如 下 ： 其 中 文 件 回 传 功 能 ， 很 可 能 被 用 来 窃 取 开 发 者 的 源 代 码 。 勒 索 病 毒 勒 索 病 毒 回 到 核 心 的 “ 病 毒 木 马 大 礼 包 ” 中 来 ： 这 其 中 最 主 要 的 当 然 就 是 我 们 的 主 角 “ U N N A M E D 1 9 8 9 ” 勒 索 病 毒 了 。 其 相 关 分 析 和 具 体 危 害 本 文 不 再 重 复 ， 有 兴 趣 可 以 移 步 我 们 之 前 发 布 的 报 告 中 《 勒 索 病 毒 “ U N N A M E D 1 9 8 9 ” 中 招 用 户 有 解 了 ！ 》 盗 号 木 马 盗 号 木 马 除 了 本 次 事 件 的 主 角 之 外 ， 在 “ 大 礼 包 ” 中 还 包 含 了 一 款 盗 号 木 马 。 经 过 我 们 分 析 ， 该 木 马 会 试 图 窃 取 支 付 宝 、 京 东 、 支 付 宝 、 京 东 、
1 6 3 邮 箱 、 微 博 、 百 度 网 盘 、 邮 箱 、 微 博 、 百 度 网 盘 、 Q Q 、 天 猫 、 阿 里 旺 旺 、 酷 狗 、 迅 雷 、 百 度 云 、 天 猫 、 阿 里 旺 旺 、 酷 狗 、 迅 雷 、 百 度 云 等 的 账 号 密 码 。 首 先 ， 该 木 马 会 初 始 化 要 窃 取 信 息 所 需 的 字 符 串 ：
完 成 后 ， 木 马 会 遍 历 进 程 ， 找 到 A l i I M . e x e ， A l i W o r k b e n c h . e x e ， 3 6 0 c h r o m e . e x e 等 进 程 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理