搜索

[10124] 2016-05-20_转账3块扣1900？对支付宝木马的分析与追踪

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-05-20_转账3块扣1900？对支付宝木马的分析与追踪 转 账 3 块 扣 1 9 0 0 ？ 对 支 付 宝 木 马 的 分 析 与 追 踪 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 6 - 0 5 - 2 0 支 付 宝 作 为 国 内 在 线 支 付 市 场 的 老 大 饱 受 恶 意 代 码 的 侵 扰 ， 黑 产 总 在 如 何 通 过 支 付 宝 骗 取 钱 财 上 发 挥 着 聪 明 才 智 。 支 付 宝 作 为 国 内 在 线 支 付 市 场 的 老 大 饱 受 恶 意 代 码 的 侵 扰 ， 黑 产 总 在 如 何 通 过 支 付 宝 骗 取 钱 财 上 发 挥 着 聪 明 才 智 。 熟 悉 网 络 安 全 、 破 解 逆 向 的 朋 友 一 定 对 于 5 2 p o j i e 这 个 网 站 不 会 感 到 陌 生 ， 它 是 我 国 为 数 不 多 的 关 注 计 算 机 软 件 安 全 的 技 术 网 站 。 本 次 事 件 发 端 于 5 2 p o j i e 上 的 一 篇 名 为 “ 支 付 宝 转 支 付 宝 转 3 块 扣 块 扣 1 9 0 0 ， 这 是 咋 回 事 ， 这 是 咋 回 事   ” 的 贴 子 ， 说 了 这 样 一 个 经 历 ： 楼 主 在 网 上 买 V P N 代 理 想 科 学 上 网 ， 用 支 付 宝 付 款 时 显 示 3 块 钱 ， 但 输 完 支 付 宝 验 证 码 后 却 被 扣 了 1 9 0 0 元 。 而 这 背 后 究 竟 发 生 了 些 什 么 ？ 过 程 分 析 过 程 分 析 根 据 帖 子 中 的 描 述 ， 我 们 试 着 访 问 提 及 的 网 站 h x x p : / / c c t v 1 6 8 . c c / ， 而 网 友 之 所 以 找 到 这 个 网 站 ， 是 通 过 搜 索 引 擎 搜 索 V P N 的 时 候 ， 进 入 钓 鱼 页 面 ， 然 后 网 友 下 载 该 V P N 而 受 骗 ， 而 现 在 搜 索 关 键 词 “ V P N ” 已 经 找 不 到 这 个 站 了 。 在 浏 览 器 中 输 入 网 址 ， 回 车 后 现 在 看 到 明 确 的 恶 意 网 站 提 示 。 我 们 当 然 忽 略 警 告 继 续 访 问 ， 背 后 的 网 站 是 这 个 样 子 ： 帖 子 中 的 当 事 人 很 可 能 没 能 安 装 使 用 3 6 0 卫 士 ， 不 然 几 乎 不 可 能 在 层 层 提 示 下 还 会 一 条 道 走 到 黑 。 现 实 是 我 们 的 可 怜 楼 主 可 能 真 的 就 下 载 运 行 了 恶 意 网 站 诱 导 的 所 谓 V P N 客 户 端 程 序 ， 样 本 运 行 后 ， 向 用 户 展 示 界 面 如 下 界 面 ：
当 然 ， 只 是 不 管 你 在 何 时 以 何 种 姿 势 点 击 连 接 ， 都 会 提 示 您 会 员 已 经 过 期 。 没 办 法 ， 只 有 点 击 购 物 车 按 钮 ， 购 买 会 员 才 能 使 用 。 在 购 买 界 面 ， 给 出 的 应 付 金 额 是 3 元 ， 在 这 个 黄 金 周 的 旅 游 景 区 ， 上 个 厕 所 都 比 这 个 贵 ， 所 以 分 分 钟 就 点 击 了 同 意 开 通 。 事 实 上 点 击 了 同 意 开 通 后 ， 样 本 执 行 了 如 下 不 为 用 户 所 知 的 动 作 ： 1 .   访 问 h t t p : / / 4 6 3 0 3 8 2 6 4 . l o f t e r . c o m 网 站 ， 读 取 到 包 括 每 次 转 账 的 金 额 （ 这 里 为 每 次 转 9 0 0 元 ） 、 转 账 时 显 示 的 支 付 宝 姓 名 （ 这 里 为 长 江 电 子 商 务 有 限 公 司 ） 以 及 支 付 宝 账 号 （ l r h 1 0 3 2 7 2 @ 1 6 3 . c o m ） 等 配 置 信 息 。 2 .   带 着 h t t p : / / w w w . a l i p a y . c o m 参 数 启 动 I E X P L O R E . E X E ， 使 用 易 语 言 （ 恶 意 代 码 作 者 的 日 常 之 选 ） 封 装 的 D O M 类 库 ， 查 找 当 前 浏 览 器 是 不 是 正 在 进 行 付 款 操 作 。 3 .   如 果 当 前 正 在 进 行 付 款 操 作 ， 根 据 付 款 的 流 程 ， 修 改 网 页 的 显 示 。 使 用 易 语 言 的 类 成 员 方 法 （ 0 x 4 0 4 0 D B 处 ） ， 修 改 页 面 显 示 内 容 。 此 处 方 法 有 两 个 参 数 ， 参 数 一 为 “ e x e s c r i p t ” ， 参 数 二 为 要 运 行 的 脚 本 代 码 。 将 页 面 上 显 示 的 金 额 信 息 与 付 款 金 额 填 写 为 下 图 样 式 。 至 此 ， 细 心 的 人 应 该 发 现 ， 软 件 能 够 帮 你 把 金 额 和 收 款 人 自 动 填 写 上 ， 当 然 也 可 以 悄 无 声 息 地 修 改 信 息 。 4 .   在 上 一 步 的 操 作 中 ， 支 付 宝 实 际 支 付 的 金 额 已 经 被 修 改 成 了 9 0 0 元 ， 只 不 是 因 为 软 件 作 者 通 过 脚 本 将 显 示 的 数 字 改 成 3 元 。 在 支 付 宝 付 款 过 程 中 ， 单 击 下 一 步 后 ， 正 常 的 页 面 应 该 是 这 样 的 ： 而 在 软 件 的 帮 忙 下 通 过 0 x 4 0 4 6 D 6 处 函 数 的 调 用 将 页 面 做 了 瞒 天 过 海 式 的 修 改 ： 一 、 将 付 款 金 额 改 成 3 元 ， 二 、 将 收 款 人 修 改 成 " 长 江 电 子 商 务 有 限 公 司 " ， 在 短 短 不 到 一 秒 钟 的 时 间 里 ， 让 人 眼 不 见 心 不 烦 ， 提 升 了 购 物 体 验 。
5 .   在 付 款 的 最 后 一 步 ， 使 用 与 第 四 步 同 样 的 障 眼 手 法 。 被 修 改 之 前 ： 修 改 后 ： 6 .   最 后 ， 真 实 的 交 易 数 据 被 发 送 到 服 务 器 。 事 已 至 此 ， 虽 然 肉 眼 已 经 无 法 再 辨 别 出 网 页 显 示 其 实 已 经 被 篡 改 过 ， 但 从 网 络 流 量 中 发 出 的 付 款 金 额 为 9 0 0 元 。 此 时 ， 看 起 来 只 支 持 了 3 元 的 一 次 完 整 购 买 过 程 就 结 束 了 。 待 事 后 事 主 看 支 付 宝 日 志 记 录 ， 才 会 发 现 转 出 的 是 9 0 0 元 ， 而 不 是 3 元 。 而 这 时 ， 木 马 作 者 极 可 能 正 拿 着 这 些 钱 吃 着 火 锅 唱 着 歌 ， 还 把 着 妹 … … 木 马 溯 源 木 马 溯 源 木 马 使 用 易 语 言 编 写 ， 原 理 也 并 不 复 杂 ， 技 术 方 面 没 有 太 多 值 得 细 讲 的 地 方 。 我 们 关 心 的 是 这 种 盗 钱 木 马 出 自 谁 手 ？ 又 经 谁 手 进 入 网 络 ？ 依 赖 3 6 0 威 胁 情 报 中 心 的 数 据 ， 追 查 其 幕 后 黑 手 却 也 并 不 是 什 么 难 事 ， 接 着 往 下 看 。
样 本 中 的 配 置 文 件 来 自 于 h t t p : / / 4 6 3 0 3 8 2 6 4 . l o f t e r . c o m 网 站 ， 网 页 上 出 现 了 两 个 可 疑 的 号 码 ， 4 6 3 0 3 8 2 6 4 和 2 9 5 3 7 6 6 1 5 8 ， 确 认 两 个 号 码 是 Q Q 号 。 在 Q Q 签 名 信 息 是 “ 1 元 1 0 0 0 钻 石 充 值 地 址 ： h t t p : / / d w z . c n / 3 4 t h J j   （ 下 载 前 关 闭 杀 毒 ） ， 活 动 仅 限 于 4 月 9 号 晚 1 2 点 ， 明 天 恢 复 正 常 价 格 ！ ” ， 访 问 h t t p : / / d w z . c n / 3 4 t h J j ， 得 到 一 批 同 源 样 本 ： 通 过 特 征 从 3 6 0 样 本 库 中 找 到 一 些 同 源 样 本 ， 发 现 木 马 作 者 有 好 多 种 骗 钱 的 程 序 ， 整 理 后 如 图 ： 通 过 对 同 源 样 本 的 挖 掘 和 网 上 某 社 工 库 的 查 询 ， 发 现 该 团 伙 如 下 ： 牧 马 人 A 和 开 发 人 员 B 。 一 、 一 、   牧 马 人 牧 马 人 A ： ： 牧 马 人 A 是 实 际 操 作 诈 骗 的 人 。 根 据 配 置 网 页 中 提 供 的 号 码 为 2 0 5 3 7 6 6 1 5 8 ， 通 过 搜 索 该 Q Q 号 ， 可 以 确 定 这 个 Q Q 号 属 于 木 马 使 用 者 ， 这 是 网 友 李 安 在 5 月 1 4 日 发 的 被 诈 骗 的 信 息 ： 通 过 对 该 Q Q 和 同 源 样 本 的 挖 掘 找 到 了 该 Q Q 作 者 的 大 号 ： 2 5 8 * * * * 。 而 且 ， 还 有 一 名 徒 弟 的 出 场 客 串 ：
该 帅 哥 的 价 值 观 严 重 扭 曲 ： 同 时 ， 通 过 样 本 又 关 联 到 该 木 马 作 者 的 两 外 要 给 另 外 一 配 置 文 件 地 址 ： h t t p : / / y a n h u a x i a n g 3 9 6 . l o f t e r . c o m /
深 入 挖 掘 ， 发 现 他 们 开 了 一 家 公 司 ： 扬 州 * * 电 子 商 务 有 限 公 司 ， 这 公 司 当 然 做 S E O 非 常 牛 逼 ， 因 为 是 电 子 商 务 公 司 ， 而 A 有 可 能 是 公 司 的 一 个 员 工 ， 在 干 私 活 ， 通 过 学 到 的 S E O 技 术 去 做 优 化 ， 把 自 己 的 V P N 钓 鱼 站 拍 到 搜 索 引 擎 前 面 。 二 、 开 发 人 员 二 、 开 发 人 员 B ： ： 开 发 人 员 B 是 诈 骗 软 件 开 发 的 人 ， 同 时 还 是 一 个 定 制 开 发 易 语 言 程 序 的 ， 他 的 Q Q 为 1 2 0 7 7 * * * * * ：
然 后 从 Q Q 的 个 人 说 明 中 ， 找 到 了 他 家 的 店 铺 ：
根 据 他 阿 里 旺 旺 的 信 息 ， 找 到 了 另 外 的 一 个 Q Q ： 1 0 0 9 2 * * * * * 通 过 对 该 Q Q 小 号 的 关 联 ， 发 现 了 他 的 大 号 4 4 7 0 * * * * * ， 从 资 料 上 看 是 一 个 从 事 互 联 网 行 业 的 人 ， 吉 林 的 ， 从 群 关 系 数 据 库 可 以 看 出 他 学 习 易 语 言 和 开 发 外 挂 已 经 很 久 了 ：
通 过 查 询 群 关 系 数 据 库 ，
通 过 搜 索 引 擎 搜 索 该 Q Q ， 找 到 了 作 者 的 手 机 、 邮 箱 和 真 名 ， 如 图 ： 这 是 整 个 团 伙 的 分 工 图 ： 小 结 小 结 木 马 作 者 使 用 的 手 段 并 不 新 奇 ， 如 果 当 时 能 够 不 轻 信 ， 如 果 当 时 能 够 不 关 杀 软 … … 但 是 没 有 如 果 。 不 夸 张 地 说 ， 现 今 的 网 络 处 处 遍 布 陷 井 ， 保 持 安 全 软 件 的 实 时 防 护 状 态 并 及 时 安 装 漏 洞 补 丁 ， 才 有 可 能 在 这 魔 鬼 出 没 的 世 界 中 避 免 遭 受 欺 诈 和 数
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理