搜索

[9630] 2015-12-11_从一条微博揭秘“专黑大V名人”的定向攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-12-11_从一条微博揭秘“专黑大V名人”的定向攻击 从 一 条 微 博 揭 秘 “ 专 黑 大 V 名 人 ” 的 定 向 攻 击 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 5 - 1 2 - 1 1 前 言 前 言 本 月 初 微 博 上 有 知 名 大 本 月 初 微 博 上 有 知 名 大 V 晒 出 一 封 私 信 截 图 ， 私 信 是 以 某 记 者 名 义 发 出 ， 要 求 采 访 该 大 晒 出 一 封 私 信 截 图 ， 私 信 是 以 某 记 者 名 义 发 出 ， 要 求 采 访 该 大 V 博 主 ， 并 提 供 了 一 个 网 盘 链 博 主 ， 并 提 供 了 一 个 网 盘 链 接 作 为 接 作 为 “ 采 访 提 纲 采 访 提 纲 ” 。 当 博 主 下 载 网 盘 中 存 放 的 所 谓 。 当 博 主 下 载 网 盘 中 存 放 的 所 谓 “ 采 访 提 纲 采 访 提 纲 ” 后 ， 该 文 件 被 后 ， 该 文 件 被 3 6 0 安 全 卫 士 检 测 为 木 马 进 行 清 除 。 安 全 卫 士 检 测 为 木 马 进 行 清 除 。 我 们 根 据 截 图 中 的 网 盘 链 接 下 载 了 伪 装 “ 采 访 提 纲 ” 的 木 马 进 行 分 析 ， 发 现 这 是 来 自 于 一 个 长 期 从 事 木 马 植 入 与 数 据 窃 取 的 不 法 黑 客 团 伙 ， 该 团 伙 利 用 盗 取 或 冒 名 的 各 类 账 号 ， 对 账 号 关 联 人 发 起 攻 击 ， 木 马 功 能 包 括 录 音 、 远 程 上 传 或 下 载 任 意 文 件 、 服 务 管 理 、 文 件 管 理 、 屏 幕 监 控 等 ， 很 明 显 是 意 图 窃 取 数 据 进 行 勒 索 或 售 卖 来 谋 取 利 益 。 样 本 信 息 样 本 信 息
样 本 流 程 图 样 本 流 程 图 样 本 详 细 分 析 样 本 详 细 分 析 X X X X 采 访 提 纲 采 访 提 纲 . e x e 木 马 作 者 将 自 己 的 样 本 做 成 一 个 w o r d 文 档 的 样 子 。 不 管 从 图 标 还 是 名 字 上 面 来 看 都 是 w o r d 的 样 子 诱 导 用 户 去 点 击 查 看 。 但 是 这 个 却 是 一 个 e x e 程 序 。 该 e x e 程 序 运 行 时 首 先 会 在 C 盘 下 面 尝 试 写 一 个 空 文 件 ， 看 是 否 能 够 写 入 成 功 。 如 果 写 入 成 功 他 就 会 删 除 该 文 件 ， 然 后 开 始 执 行 一 系 列 操 作 来 在 安 装 自 己 。 首 先 释 放 大 量 文 件 ， 作 者 将 自 己 的 文 件 夹 设 置 为 了 隐 藏 。 如 果 我
们 的 文 件 夹 选 项 中 没 有 勾 选 显 示 隐 藏 搜 保 护 的 操 作 系 统 文 件 我 们 是 看 不 到 的 。 释 放 文 件 完 毕 后 接 下 来 会 创 建 V S T q u a n j u h e . c o m 这 个 可 执 行 文 件 ， V S T q u a n j u h e 进 程 会 运 行 e x p l o r e 来 打 开 C : O A 路 径 。 弹 出 一 个 空 的 d o c x 文 档 。 ( p s : 测 试 没 有 装 w o r d ， 所 以 这 里 比 较 尴 尬 ， 没 有 w o r d 图 标 ) 接 下 来 用 u a . e x e 这 个 程 序 来 解 压 l i n k s . i n i 文 件 ， 解 压 密 码 为 ” █ 噎 冪 蕟 嚄 Щ 暜 囖 醃 ∷ 滸 濤 ∑ ” , 解 压 后 判 断 判 断 系 统 是 多 少 位 的 如 果 是 3 2 位 的 就 运 行 W i n 1 . b a t 文 件 ， 如 果 是 6 4 位 的 就 运 行 W i n 2 . b a t ( W i n 2 . b a t 内 容 和 W i n 1 . b a t 内 容 相 似 ， 只 是 不 再 判 断 是 多 少 版 本 的 系 统 ) W i n 1 . b a t 该 文 件 的 内 容 主 要 是 先 判 断 是 否 存 在 s w a p f i l e . s y s 文 件 ， 来 判 断 操 作 系 统 版 本 的 。 如 果 存 在 就 将 t e s t 1 . p f x 重 命 名 为 2 0 1 6 m t . 1 r 放 到 C ： W i n d o w s 目 录 下 ， 否 则 就 将 t e s t 2 . p f x 文 件 重 命 名 为 2 0 1 6 m t . 1 r 放 到 C ： W i n d o w s 目 录 下 . 接 下 来 调 用 r e g e d i t . e x e 来 运 行 u a . l n k → 运 行 m e w . 1 r → m s g   系 统 需 要 升 级 → 关 机 重 启 u a . l n k 写 入 注 册 表 ， 并 关 联 文 件 。 将 . 1 r 文 件 与 ” V B E F i l e ” 文 件 相 关 联 以 及 将 . 3 f 文 件 与 ” i n i f i l e ” 文 件 相 关 联 。 使 这 两 种 后 缀 的 文 件 能 按 v b e 和 i n f 文 件 的 形 式 打 开 。 m e w . 1 r 该 文 件 是 一 个 被 加 密 了 5 次 的 v b s 文 件 ， 源 文 件 打 开 看 到 的 像 是 一 堆 乱 码 。 如 图
最 后 解 密 到 的 脚 本 内 容 解 密 后 的 v b s 文 件 的 主 要 功 能 就 是 模 拟 鼠 标 去 点 击 运 行 ” C : $ N t U n i n s t a l l K B 1 6 0 1 A $ B i n B a c k u p M Y T E M P ” 文 件 下 的 8 . 3 f 文 件 8 . 3 f 在 R u n O n c e E x 下 写 入 了 一 个 注 册 表 ， 开 机 时 就 启 动 2 0 1 6 m t . 1 r ( v b 文 件 ) 文 件 。 2 0 1 6 m t . 1 r 开 机 后 运 行 2 0 1 6 m t . 1 r → 0 s . b a t 文 件 → 调 用 r e g d i t 运 行 l a n g 2 . l n k → 解 压 a b c 1 6 0 1 . b a t → 运 行 s h o t d o w n o s . b a t 用 a b c . o s 文 件 去 覆 盖 q m v e x t . d b 文 件 ， 该 文 件 时 用 来 存 放 规 则 的 文 件 。 写 入 规 则 后 的 文 件 就 不 会 被 查 杀 了 。 这 里 作 者 用 自 己 的 数 据 文 件 替 换 用 户 的 数 据 文 件 。 就 是 为 了 绕 过 腾 讯 管 家 的 查 杀 。 不 过 这 个 漏 洞 在 2 0 1 3 就 在 乌 云 上 报 道 过 了 。 l a n g 2 . l n k 通 过 调 用 r e g e e d i t   / s   来 执 行 r e g 文 件 。 该 文 件 的 主 要 作 用 是 关 联 文 件 以 及 在 注 册 表 在 A c t i v e   S t e u p 下 的 S t u b P a t h 键 下 写 入 了 ” C : $ N t U n i n s t a l l K B 1 6 0 1 A $ B i n B a c k u p s u p e r . i n f ” ， 写 入 注 册 表 写 入 后 ， s u p e r . i n f 文 件 会 在 操 作 系 统 启 动 后 第 一 时 间 启 动 。 比 任 何 一 个 程 序 都 要 先 启 动 。 a b c 1 6 0 1 . d a t a b c 1 6 0 1 . d a t a 是 一 个 被 加 密 了 的 压 缩 文 件 。 解 压 密 码 为 “ ▓ 羋 奤 柒 ♀ 懋 髖 瓊 ♂ 蠟 蕙 纗 ▓   ” 。 解 压 后 出 现 一 个 s h o t d o w n 文 件 ， 然 后 u a . e x e 会 运 行 s h o t d o w n 文 件 ， s h o t d w o n 释 放 F r e e I m a g e . d l l 文 件 , 接 下 来 F r e e I m a g e . d l l 会 释 放 出 并 运 行 F r e e I m a g e . e x e F r e e I m a g e . e x e 该 文 件 是 先 将 自 己 写 的 函 数 的 地 址 写 入 在 程 序 中 ， 这 样 就 提 高 了 分 析 者 对 样 本 分 析 的 难 度
将 地 址 写 死 在 程 序 中 后 ， 通 过 对 寄 存 器 的 调 用 来 调 用 自 己 写 的 函 数 。 一 直 在 不 停 的 c a l l   e a x 来 调 用 函 数 接 下 来 就 对 他 进 行 注 入 了 。 先 调 用 W r i t e P r o c e s s M e m o r y 函 数 对 s v c h o s t . e x e 写 入 数 据 ， 接 下 来 调 用 S e t T h r e a d C o n t e x t 函 数 来 设 置 E I P 然 后 调 用 R e u m e T h r e a d 来 恢 复 线 程 通 过 新 设 置 的 E I P 我 们 找 到 了 被 注 入 的 s v c h o s t . e x e 的 入 口 地 址 ( 通 过 对 写 入 文 件 前 下 C C 断 点 ) , 用 O D 附 加 后 调 试 发 现 。 被 注 入 的 文 件 就 是 F r e e I m a g e 本 身 。 如 果 注 入 成 功 ， F r e e I m a g e 就 结 束 运 行 。 不 过 不 管 注 入 成 不 成 功 s v c h o s t 也 会 发 起 数 据 链 接 ， 结 合 在 动 态 分 析 对 该 远 控 功 能 的 分 析 和 对 数 据 包 结 构 的 分 析 。 可 以 看 出 ， 该 远 控 是 一 个 灰 鸽 子 改 版 过 来 的 R e m o t e A B C 远 程 控 制 软 件 。
图 . 上 线 包 如 果 系 统 版 本 不 是 w i n 8 及 其 以 上 , 则 2 1 0 6 m t . 1 r 是 由 t e s t 1 . p f x 解 密 而 来 文 件 主 要 内 容 如 下 ： 运 行 o s . b a t ( 覆 盖 腾 讯 信 任 文 件 数 据 库 文 件 ) → 解 压 a b c . d a t a → 解 压 i n s t . i n i → 运 行 会 释 放 出 远 控 的 s h o t d o w n . e x e → 调 用 r e g e d i t . e x e 运 行 l a n g 1 . l n k → 重 启 电 脑 i n s t . i n i 解 密 后 得 到 的 文 件 是 作 者 事 先 写 好 的 3 6 0 卫 士 的 信 任 区 数 据 文 件 和 一 个 安 全 工 具 及 其 相 关 的 组 件 l a n g 1 . l n k l a n g 1 . l n k 将 b m d . v b e 写 入 了 启 动 项 里 面 。 写 入 后 会 开 机 自 启 动 ， 启 动 后 运 行 b m d . v b e b m d . v b e b m d . v b e 文 件 也 是 被 加 密 过 5 次 的 v b s 文 件 ， 它 主 要 运 行 u b . l n k 以 及 g s x t . b a t u b . l n k u b . l n k 解 密 m t f i l e . t p i 文 件 。 并 执 行 i n g . e x e 文 件 g s x t . b a t 文 件 主 要 内 容 文 件 主 要 内 容 g s x t . b a t 通 过 调 用 一 个 r o o t k i t 工 具 ， 删 除 替 换 杀 软 的 信 任 区 文 件 ， 从 而 将 木 马 加 入 用 户 的 信 任 区 。 尽 管 该 木 马 专 门 针 对 3 6 0 安 全 卫 士 进 行 破 坏 ， 试 图 躲 过 查 杀 ， 但 3 6 0 多 重 防 护 体 系 的 “ 下 载 保 护 ” 将 木 马 直 接 报 毒 清 除 ， 使 其 无 法 运 行 起 来 ， 从 而 有 效 保 护 了 用 户 避 免 中 招 。 木 马 背 后 木 马 背 后 在 我 们 捕 获 的 同 族 系 样 本 中 ， 还 发 现 一 个 命 名 为 “ l e f t   a n d   r i g h t   b a s e   t r i g g e r ,   l e f t   a n d   r i g h t   b u m p e r   s 1 3 6 m o u l d 2 0 0 0 0 p i e c e s . e x e ” 的 样 本 。 该 文 件 属 于 工 程 技 术 类 文 档 ， 而 图 标 则 是 一 个 文 件 夹 图 标 。 与 上 面 分 析 的 样 本 不 同 的 的 是 ， 它 是 在 O A 文 件 夹 下 释 放 的 ， 并 且 不 再 是 W o r d 文 档 ， 而 是 四 个 S T E P 文 档 。 S T E P 文 件 是 一 个 国 际 统 一 的 C A D 数 据 交 换 标 准 ， 根 据 这 四 个 S T E P 文 件 内 容 来 看 ， 是 针 对 S o l i d W o r k s   2 0 1 4 这 款 软 件 的 。
这 个 木 马 团 伙 最 近 一 段 时 间 ， 使 用 远 控 控 制 服 务 器 ， 均 是 位 于 青 岛 的 阿 里 云 服 务 器 中 心 。 两 个 木 马 使 用 的 远 控 上 线 地 址 ： 下 面 是 近 期 该 族 系 传 播 比 较 多 的 几 个 变 种 ， 涵 盖 多 个 行 业 ：
不 难 发 现 ： 木 马 的 文 件 名 、 传 播 渠 道 、 针 对 人 群 这 三 组 指 标 都 有 极 高 的 统 一 性 ， 这 明 显 不 是 那 种 常 见 的 “ 撒 网 捕 鱼 ” 式 的 木 马 ， 而 是 前 期 先 获 取 到 一 部 分 人 的 邮 箱 、 通 讯 软 件 、 社 交 平 台 等 账 号 密 码 ， 之 后 人 工 分 析 原 账 号 持 有 者 的 社 交 圈 和 社 交 习 惯 ， 再 根 据 分 析 结 果 定 向 发 送 定 制 的 木 马 程 序 ， 增 加 木 马 投 放 的 成 功 率 ， 同 时 也 方 便 更 有 目 的 性 和 更 高 效 的 窃 取 中 招 用 户 机 器 上 的 资 料 。 植 入 中 招 用 户 机 器 中 的 是 远 控 木 马 而 不 是 普 通 的 盗 号 木 马 ， 这 样 也 是 更 方 便 认 为 的 控 制 要 获 取 的 资 料 ， 目 的 性 进 一 步 提 高 。 关 系 草 图 大 体 如 下 ：
这 里 只 是 将 已 经 展 现 在 我 们 面 前 的 第 一 层 关 系 图 画 出 来 ， 不 难 发 现 在 这 种 有 人 工 参 与 的 目 的 性 极 强 的 攻 击 方 式 下 ， 很 容 易 的 形 成 一 个 链 式 反 应 。 只 要 参 与 运 营 的 人 手 够 多 ， 就 足 以 在 短 时 间 内 掌 握 大 量 的 特 定 行 业 内 部 信 息 — — 而 这 能 换 取 的 经 济 利 益 显 然 是 巨 大 的 。 总 结 总 结 此 类 定 向 木 马 具 有 明 显 的 专 一 性 ， 需 要 较 高 的 人 工 参 与 度 ， 所 以 传 播 方 式 并 不 是 传 统 木 马 的 以 量 取 胜 ， 而 是 转 变 为 定 点 打 击 的 精 准 小 范 围 传 播 。 虽 然 成 本 更 高 ， 但 显 然 收 益 也 更 加 可 观 。 同 时 避 免 大 规 模 的 传 播 也 就 等 同 于 降 低 了 被 各 大 安 全 厂 商 云 安 全 机 制 发 现 的 风 险 。 *   作 者 ： 3 6 0 安 全 卫 士 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理