搜索

[8521] 2014-12-23_揭秘银行木马Chthonic：网银大盗ZeuS的最新变种

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-17
2014-12-23_揭秘银行木马Chthonic：网银大盗ZeuS的最新变种 揭 秘 银 行 木 马 C h t h o n i c ： 网 银 大 盗 Z e u S 的 最 新 变 种 F r e e B u f   2 0 1 4 - 1 2 - 2 3 说 到 说 到 Z e u s ／ ／ Z b o t ， 做 安 全 多 多 少 少 都 会 有 所 了 解 。 ， 做 安 全 多 多 少 少 都 会 有 所 了 解 。 Z e u s 是 对 金 融 系 是 对 金 融 系 统 威 胁 最 大 的 僵 尸 网 络 之 一 ， 控 制 者 借 助 僵 尸 程 统 威 胁 最 大 的 僵 尸 网 络 之 一 ， 控 制 者 借 助 僵 尸 程 序 窃 取 账 户 登 录 信 息 和 信 用 卡 号 码 。 序 窃 取 账 户 登 录 信 息 和 信 用 卡 号 码 。 Z b o t 往 往 通 过 垃 圾 邮 件 来 传 播 ， 中 招 的 会 下 载 一 个 程 序 ， 这 个 程 序 会 控 制 网 往 往 通 过 垃 圾 邮 件 来 传 播 ， 中 招 的 会 下 载 一 个 程 序 ， 这 个 程 序 会 控 制 网 银 ， 偷 取 信 息 。 近 期 卡 巴 斯 基 实 验 室 发 现 了 一 款 银 ， 偷 取 信 息 。 近 期 卡 巴 斯 基 实 验 室 发 现 了 一 款 Z e u S 的 最 新 变 种 的 最 新 变 种 C h t h o n i c 。 。 2 0 1 4 年 秋 季 ， 卡 巴 斯 基 发 现 了 一 款 新 的 银 行 木 马 ， 之 所 以 引 起 了 卡 巴 斯 基 的 注 意 是 因 为 ： 年 秋 季 ， 卡 巴 斯 基 发 现 了 一 款 新 的 银 行 木 马 ， 之 所 以 引 起 了 卡 巴 斯 基 的 注 意 是 因 为 ： 首 先 ， 从 技 术 上 来 说 这 款 病 毒 非 常 有 趣 ， 它 使 用 了 一 种 新 技 术 加 载 模 块 。 其 次 ， 通 过 分 析 它 的 配 置 文 件 我 们 发 现 ， 这 款 木 马 针 对 的 是 大 量 在 线 银 行 系 统 ： 超 过 1 5 0 家 不 同 的 银 行 ， 还 有 来 自 1 5 个 国 家 的 2 0 个 支 付 系 统 。 主 要 针 对 来 自 英 国 、 西 班 牙 、 美 国 、 俄 罗 斯 、 日 本 和 意 大 利 的 银 行 。 卡 巴 斯 基 实 验 室 将 这 款 新 病 毒 命 名 为 T r o j a n - B a n k e r . W i n 3 2 . C h t h o n i c 。 虽 然 经 过 大 量 修 改 ， 我 们 还 是 察 觉 到 这 款 木 马 是 Z e u s V M 的 变 种 。 C h t h o n i c 使 用 与 A n d r o m e d a   b o t s 相 同 的 加 密 器 ， 与 Z e u s   A E S 和 Z e u s   V 2 木 马 相 同 的 加 密 方 案 ， 与 Z e u s V M 和 K I N S 类 似 的 一 款 虚 拟 机 。 感 染 方 式 感 染 方 式 T r o j a n - B a n k e r . W i n 3 2 . C h t h o n i c 感 染 主 机 有 两 种 方 式 ：   发 送 带 有 e x p l o i t s 的 电 子 邮 件 ； 使 用 A n d r o m e d a   b o t ( B a c k d o o r . W i n 3 2 . A n d r o m ) 下 载 到 受 害 者 主 机 上 。 发 送 带 有 e x p l o i t s 的 电 子 邮 件 ： 犯 罪 分 子 会 附 上 一 个 “ 精 心 制 作 ” 的 R T F 文 件 ， 文 件 会 利 用 微 软 O f f i c e 产 品 中 的 C V E - 2 0 1 4 - 1 7 6 1 漏 洞 。 文 件 的 使 用 的 是 . D O C 后 缀 ， 为 的 是 看 起 来 不 那 么 可 疑 。 如 果 成 功 的 话 ， 受 害 者 的 主 机 就 会 下 载 一 个 如 果 成 功 的 话 ， 受 害 者 的 主 机 就 会 下 载 一 个 d o w n l o a d e r 木 马 。 木 马 。 上 图 例 子 中 ， 这 个 d o w n l o a d e r 木 马 来 自 一 个 被 攻 陷 的 网 站 — —   h x x p : / / v a l t e x - g u m a . c o m . u a / d o c s / t a s k l o s t . e x e 。
A n d r o m e d a   b o t 则 会 从 h x x p : / / g l o b a l b l i n d s . o r g / B A T H / l i d e r . e x e 下 载 d o w n l o a d e r 木 马 。 下 载 木 马 下 载 木 马 一 旦 一 旦 d o w n l o a d e r 被 下 载 ， 就 会 向 被 下 载 ， 就 会 向 m s i e x e c . e x e 注 入 代 码 。 似 乎 这 款 注 入 代 码 。 似 乎 这 款 d o w n l o a d e r 是 基 于 是 基 于 A n d r o m e d a   b o t 的 源 代 码 修 改 的 ， 虽 的 源 代 码 修 改 的 ， 虽 然 两 者 采 用 了 不 同 的 通 信 协 议 。 然 两 者 采 用 了 不 同 的 通 信 协 议 。 A n d r o m e d a 和 C h t h o n i c   d o w n l o a d e r 的 相 似 之 处 A n d r o m e d a 和 C h t h o n i c   C & C 采 用 了 不 同 的 通 信 协 议 C h t h o n i c 的 d o w n l o a d e r 包 含 一 个 加 密 的 配 置 文 件 ( K I N S 和 Z e u s V M 也 使 用 了 类 似 的 加 密 ) 。 配 置 文 件 主 要 包 括 ： 一 个 配 置 文 件 主 要 包 括 ： 一 个 C & C 服 务 服 务 器 列 表 ， 一 个 用 于 器 列 表 ， 一 个 用 于 R C 4 加 密 的 加 密 的 1 6 字 节 密 钥 ， 字 节 密 钥 ， U s e r A g e n t 和 僵 尸 网 络 和 僵 尸 网 络 I D 。 。 调 用 虚 拟 机 函 数 的 主 要 过 程 解 密 配 置 文 件 后 ， 内 容 即 被 以 以 下 形 式 储 存 在 堆 内 存 中 ： 这 个 过 程 没 有 传 递 指 针 。 这 个 过 程 没 有 传 递 指 针 。 A n d r o m e d a   b o t 会 通 过 会 通 过 R t l W a l k H e a p 函 数 检 查 每 个 堆 元 素 ， 将 起 始 的 函 数 检 查 每 个 堆 元 素 ， 将 起 始 的 4 个 字 节 与 个 字 节 与 M A G I C V A L U E 匹 配 。 匹 配 。 d o w n l o a d e r 会 收 集 本 地 I P ， 僵 尸 i d ， 系 统 信 息 ， 语 言 信 息 ， u p t i m e 和 其 他 信 息 ， 然 后 先 用 X o r W i t h N e x t B y t e 进 行 加 密 ， 再 用 R C 4 ， 接 着 把 信 息 发 送 到 配 置 文 件 中 指 定 的 一 个 C & C 地 址 。 发 送 信 息 后 ， 木 马 会 收 到 一 个 扩 展 加 载 器 。 不 是 标 准 的 发 送 信 息 后 ， 木 马 会 收 到 一 个 扩 展 加 载 器 。 不 是 标 准 的 P E 文 件 ， 而 是 一 系 列 片 段 ， 加 载 器 会 把 这 些 片 段 映 射 到 内 文 件 ， 而 是 一 系 列 片 段 ， 加 载 器 会 把 这 些 片 段 映 射 到 内 存 ， 这 些 片 段 包 括 ： 可 执 行 代 码 ， 重 定 位 表 ， 入 口 点 ， 导 出 的 函 数 和 引 入 表 。 存 ， 这 些 片 段 包 括 ： 可 执 行 代 码 ， 重 定 位 表 ， 入 口 点 ， 导 出 的 函 数 和 引 入 表 。
A n d r o m e d a 和 C h t h o n i c 中 的 i m p o r t   s e t u p 片 段 头 文 件 扩 展 加 载 器 中 还 包 含 一 个 使 用 虚 拟 机 加 密 的 配 置 文 件 。 它 会 加 载 木 马 的 主 模 块 ， 然 后 主 模 块 会 下 载 其 他 模 块 。 扩 展 扩 展 加 载 器 中 还 包 含 一 个 使 用 虚 拟 机 加 密 的 配 置 文 件 。 它 会 加 载 木 马 的 主 模 块 ， 然 后 主 模 块 会 下 载 其 他 模 块 。 扩 展 加 载 器 本 身 使 用 加 载 器 本 身 使 用 A E S 加 密 ， 而 其 他 片 段 是 用 加 密 ， 而 其 他 片 段 是 用 U C L 打 包 的 。 主 模 块 加 载 其 他 模 块 ， 建 立 引 入 表 的 方 式 与 打 包 的 。 主 模 块 加 载 其 他 模 块 ， 建 立 引 入 表 的 方 式 与 C h t h o n i c d o w n l o a d e r 很 相 似 。 很 相 似 。 模 块 加 载 过 程 见 下 图 ：
模 块 模 块 T r o j a n - B a n k e r . W i n 3 2 . C h t h o n i c 采 用 模 块 结 构 。 至 今 为 止 我 们 已 经 发 现 的 模 块 ： 名 称                                         描 述                                                               是 否 有 6 4 位 版 本 m a i n                           主 模 块   ( v 4 . 6 . 1 5 . 0   -   v 4 . 7 . 0 . 0 )                                   是 i n f o                           收 集 系 统 信 息                                                                     是 p o n y                           窃 取 保 存 的 密 码                                                                 否 k l o g                           K e y l o g g e r                                                                           是 h t t p                           W e b 注 入 和 表 单 存 取                                                           是 v n c                             远 程 控 制                                                                             是 s o c k s                         代 理 服 务 器                                                                         是 c a m _ r e c o r d e r           使 用 摄 像 头 录 视 频                                                             是 木 马 中 有 很 多 函 数 通 过 各 种 手 段 窃 取 在 线 银 行 的 用 户 名 密 码 。 而 V N C 和 c a m _ r e c o r d e r 模 块 能 让 攻 击 者 远 程 连 接 感 染 的 电 脑 并 且 进 行 交 易 ， 还 可 以 用 电 脑 的 摄 像 头 和 麦 克 风 录 下 视 频 音 频 。 注 入 注 入 W e b 注 入 是 注 入 是 C h t h o n i c 的 主 要 武 器 ： 他 们 能 够 用 木 马 在 浏 览 器 打 开 的 网 页 代 码 中 插 入 自 己 的 代 码 和 图 片 。 攻 击 者 能 够 借 的 主 要 武 器 ： 他 们 能 够 用 木 马 在 浏 览 器 打 开 的 网 页 代 码 中 插 入 自 己 的 代 码 和 图 片 。 攻 击 者 能 够 借 此 获 取 受 害 者 的 手 机 号 码 ， 一 次 性 密 码 和 此 获 取 受 害 者 的 手 机 号 码 ， 一 次 性 密 码 和 P I N ， 还 有 受 害 者 输 入 的 用 户 名 和 密 码 。 ， 还 有 受 害 者 输 入 的 用 户 名 和 密 码 。 例 如 ， 当 用 户 访 问 日 本 银 行 时 ， 木 马 会 隐 藏 银 行 的 提 示 警 告 ， 并 且 插 入 脚 本 ， 使 得 攻 击 者 能 够 使 用 受 害 者 的 账 号 进 行 转 账 ： 在 线 网 银 网 页 截 屏 （ 注 入 前 / 注 入 后 ）
注 入 的 脚 本 中 的 函 数 注 入 的 脚 本 也 会 显 示 很 多 假 窗 口 ， 以 获 取 攻 击 者 想 要 的 信 息 ， 如 下 图 所 示 ， 窗 口 显 示 一 个 警 告 ， 警 告 用 户 账 号 认 证 有 问 题 ， 提 示 用 户 输 入 交 易 验 证 码 ( T A N , T r a n s a c t i o n   A u t h e n t i c a t i o n   N u m b e r ) ： 交 易 验 证 码 输 入 窗 口 不 过 我 们 的 分 析 发 现 针 对 俄 罗 斯 银 行 的 注 入 有 点 异 常 。 当 受 害 者 打 开 一 个 在 线 银 行 网 页 时 ， 网 页 的 整 个 页 面 都 被 替 不 过 我 们 的 分 析 发 现 针 对 俄 罗 斯 银 行 的 注 入 有 点 异 常 。 当 受 害 者 打 开 一 个 在 线 银 行 网 页 时 ， 网 页 的 整 个 页 面 都 被 替 换 了 ， 而 不 是 像 其 他 银 行 一 样 只 注 入 一 部 分 。 木 马 会 创 建 一 个 与 原 来 窗 口 大 小 一 样 的 换 了 ， 而 不 是 像 其 他 银 行 一 样 只 注 入 一 部 分 。 木 马 会 创 建 一 个 与 原 来 窗 口 大 小 一 样 的 i f r a m e ， 覆 盖 原 网 页 。 ， 覆 盖 原 网 页 。 下 图 是 注 入 的 代 码 的 片 段 ， 这 段 代 码 会 替 换 t i t l e 与 b o d y 结 束 标 记 之 间 的 内 容 ： 脚 本 内 容 ：
如 果 注 入 成 功 ， b o t 就 会 收 到 指 令 建 立 反 向 链 接 ： 覆 盖 区 域 覆 盖 区 域 病 毒 袭 击 了 1 5 个 国 家 的 1 5 0 家 银 行 和 2 0 个 支 付 系 统 。 攻 击 者 主 要 针 对 英 国 、 西 班 牙 、 美 国 、 俄 罗 斯 、 日 本 和 意 大 利 的 银 行 。 C h t o n i c 目 标 的 国 家 分 布 值 得 注 意 的 是 ， 尽 管 配 置 文 件 的 列 表 中 有 很 多 目 标 ， 但 很 多 用 于 值 得 注 意 的 是 ， 尽 管 配 置 文 件 的 列 表 中 有 很 多 目 标 ， 但 很 多 用 于 w e b 注 入 的 代 码 片 段 已 经 不 能 用 了 ， 因 为 银 行 更 改 注 入 的 代 码 片 段 已 经 不 能 用 了 ， 因 为 银 行 更 改 了 他 们 的 网 页 ， 有 的 银 行 甚 至 域 名 都 改 掉 了 。 另 外 ， 有 些 代 码 片 段 我 们 几 年 前 在 其 他 病 毒 （ 例 如 了 他 们 的 网 页 ， 有 的 银 行 甚 至 域 名 都 改 掉 了 。 另 外 ， 有 些 代 码 片 段 我 们 几 年 前 在 其 他 病 毒 （ 例 如 Z e u s   V 2 ） 的 配 置 文 ） 的 配 置 文 件 中 看 到 过 。 件 中 看 到 过 。 总 结 总 结 我 们 看 到 我 们 看 到 Z e u S 木 马 仍 然 在 不 断 更 新 完 善 ， 加 入 新 的 技 术 。 这 得 益 于 木 马 仍 然 在 不 断 更 新 完 善 ， 加 入 新 的 技 术 。 这 得 益 于 Z e u S 源 码 的 泄 露 。 所 以 很 多 写 木 马 的 把 它 拿 来 当 源 码 的 泄 露 。 所 以 很 多 写 木 马 的 把 它 拿 来 当
框 架 了 ， 任 何 人 都 可 以 加 入 新 功 能 满 足 需 求 。 框 架 了 ， 任 何 人 都 可 以 加 入 新 功 能 满 足 需 求 。 所 以 ， 以 后 我 们 无 疑 会 看 到 更 多 的 所 以 ， 以 后 我 们 无 疑 会 看 到 更 多 的 Z e u S 新 变 种 。 新 变 种 。 部 分 部 分 m d 5 : 1 2 b 6 7 1 7 d 2 b 1 6 e 2 4 c 5 b d 3 c 5 f 5 5 e 5 9 5 2 8 c 1 4 8 5 6 3 b 1 c a 6 2 5 b b d b b 6 0 6 7 3 d b 2 e d b 7 4 a 6 d b 7 e c c 5 c 9 0 c 9 0 b 6 0 7 7 d 5 a e f 5 9 4 3 5 e 0 2 5 a 1 b 8 c 8 2 4 7 9 d 0 0 3 a a 3 7 d d 7 b 1 d d 8 7 7 4 9 3 2 a b 7 3 f 2 d 1 9 6 6 c d 5 8 2 0 5 1 2 f b e 8 6 9 8 6 6 1 8 3 2 9 d 6 2 e e 3 3 b e c 5 c 1 7 c 2 e b 5 e 7 0 1 b 2 8 6 3 9 6 1 5 e 4 6 c 2 f f 5 f 8 1 a 1 1 e 7 3 7 9 4 e f e e 9 6 b 3 8 7 7 b 4 2 f b 6 3 3 3 6 9 d e 1 4 6 7 8 5 c 8 3 2 7 0 b b 2 8 9 7 8 5 7 5 d b 9 f 7 0 3 7 4 f 4 b f 2 f 5 a 4 0 1 f 7 0 d 8 a c 9 7 d 0 1 0 a 3 1 b a 0 d d c 0 f e b b d 8 7 1 9 0 d c 6 0 7 8 b 6 7 0 d c e e f 9 b c 2 9 b 4 9 f 7 4 1 5 c 3 1 f f b 7 7 6 a b a f c f 2 4 7 6 b e a 3 9 b 3 3 8 a b f b 5 2 4 c 4 5 1 8 3 6 c 1 5 d 1 c a c c a b 5 4 6 2 e 0 9 0 5 5 5 b c b e c 5 8 b d e c e b 9 d 5 c 2 0 2 8 0 5 7 9 f 3 1 6 1 4 1 5 6 9 d 2 3 3 5 c a d 0 c 0 1 7 f e f 1 2 0 9 5 c 4 5 f e 0 1 b 7 7 7 3 a 4 8 d 1 3 d 4 3 8 a 1 7 c 1 5 c e 6 c e c 4 b 6 0 d 2 5 d b c 5 4 2 1 c d [ 参 考 来 源 参 考 来 源 S e c u r e l i s t   译 译 / S p h i n x ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理