搜索

[11053] 2017-02-22_域名背后的真相，一个黑产团伙的沦陷

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-02-22_域名背后的真相，一个黑产团伙的沦陷 域 名 背 后 的 真 相 ， 一 个 黑 产 团 伙 的 沦 陷 g 0 v @ 金 乌 实 验 室   F r e e B u f   2 0 1 7 - 0 2 - 2 2 * 原 创 作 者 ： g 0 v @ 金 乌 网 络 安 全 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   前 言 前 言 很 多 小 伙 伴 溯 源 一 般 只 追 查 到 很 多 小 伙 伴 溯 源 一 般 只 追 查 到 w h o i s 信 息 ， 但 个 人 认 为 该 信 息 未 必 是 真 实 有 效 的 ， 挖 掘 背 后 的 信 息 才 是 正 章 。 信 息 ， 但 个 人 认 为 该 信 息 未 必 是 真 实 有 效 的 ， 挖 掘 背 后 的 信 息 才 是 正 章 。 起 因 起 因 今 天 在 朋 友 圈 ， 看 到 朋 友 发 了 一 条 信 息 ， 说 收 到 带 病 毒 短 信 。
分 析 分 析 直 接 通 过 上 述 地 址 下 载 该 安 卓 木 马 。 通 过 A P K 逆 向 分 析 工 具 分 析 后 得 知 ， 该 木 马 基 本 已 经 将 能 获 取 的 权 限 都 申 请 一 遍 了 。 如 下 图 ， 开 机 启 动 ， 发 送 短 信 ， 删 除 短 信 ， 获 取 联 系 人 ， 允 许 接 收 W A P 信 息 并 删 除 ， 唤 醒 手 机 ， 检 查 网 络 状 态 ， 甚 至 连 振 动 器 的 权 限 都 申 请 了 。 看 一 下 具 体 的 行 为 ： 1 、 激 活 设 备 管 理 器 操 作 。 2 、 无 意 间 还 翻 到 这 个 。 呵 呵 呵 呵 ！
3 、 通 过 手 机 接 收 受 害 者 相 关 信 息 。 4 、 通 过 邮 箱 接 收 受 害 者 相 关 信 息 。 发 送 邮 箱 用 户 名 ： 发 送 邮 箱 密 码 ： 5 、 获 取 手 机 号 码 ， 并 对 应 判 断 拦 截 这 些 手 机 的 短 信 内 容 。 6 、 发 送 恶 意 短 信 “ 我 给 你 录 了 段 小 视 频 你 看 看     r y x x x x . x x x / M U S t x ” 来 进 行 传 播 。 7 、 监 听 短 信 发 件 箱 及 收 件 箱 。
通 过 上 述 代 码 不 难 看 出 ， 该 木 马 的 主 要 功 能 为 获 取 手 机 内 的 短 信 ， 获 取 手 机 内 的 联 系 人 并 发 送 至 指 定 邮 箱 ， 同 时 将 木 马 下 载 地 址 通 过 短 信 的 方 式 传 播 给 手 机 里 所 有 的 联 系 人 。 大 同 小 异 的 木 马 。 下 面 是 重 点 了 ， 我 们 的 溯 源 之 路 。 溯 源 溯 源 一 、 初 步 探 测 一 、 初 步 探 测 1 、 通 过 邮 箱 注 册 的 号 码 来 看 ， 应 该 是 字 母 + 手 机 号 ， 通 过 一 些 手 段 ， 我 们 查 找 到 ， 该 手 机 号 码 ， 归 属 地 为 辽 宁 朝 阳 ， 实 名 认 证 姓 名 是 于 国 玲 ， 开 卡 时 间 为 2 0 1 4 年 9 月 2 2 日 ， 套 餐 为 神 州 行 家 园 卡 欢 乐 套 餐 。 但 无 法 确 认 该 手 机 号 的 实 名 认 证 信 息 一 定 是 放 马 人 的 。 2 、 通 过 木 马 里 收 信 电 话 中 的 查 询 ， 发 现 该 电 话 为 某 商 户 外 卖 电 话 ， 如 果 这 个 电 话 确 实 是 放 马 人 的 ， 每 天 的 短 信 量 将 难 以 估 计 ， 放 在 手 机 上 估 计 此 手 机 也 干 不 了 别 的 了 。 由 于 外 卖 电 话 不 太 可 能 置 于 电 脑 进 行 接 信 ， 所 以 此 手 机 号 可 能 性 不 大 。 3 、 当 我 登 陆 放 马 人 的 邮 箱 时 ， 发 现 密 码 错 误 。 通 过 找 回 密 码 ， 发 现 提 示 该 邮 箱 并 未 注 册 。 利 用 木 马 中 的 信 息 ， 注 册 该 邮 箱 后 ， 发 现 有 大 量 短 信 及 通 讯 录 发 送 到 此 邮 箱 。 但 第 二 天 时 ， 该 邮 箱 已 被 注 销 。 看 来 这 个 邮 箱 是 在 用 ， 但 是 被 网 易 发 现 该 邮 箱 行 为 并 注 销 掉 （ 也 说 明 了 网 易 会 未 经 用 户 允 许 检 查 用 户 邮 件 内 容 ） 。 4 、 通 过 木 马 下 载 地 址 进 行 w h o i s 反 查 后 发 现 ， 注 册 此 域 名 的 邮 箱 同 时 注 册 大 量 域 名 ， 同 时 这 些 域 名 大 部 分 均 挂 载 恶 意 木 马 或 其 他 非 法 网 站 。
打 开 若 干 网 站 ， 下 载 了 多 个 木 马 样 本 ， 代 码 有 些 许 差 别 ， 但 功 能 大 都 一 致 ， 发 送 短 信 及 通 讯 录 到 指 定 邮 箱 ， 同 时 向 通 讯 录 里 面 的 人 扩 撒 该 木 马 。 通 过 检 查 这 些 域 名 下 载 来 的 木 马 中 的 邮 箱 我 们 发 现 ， 这 些 木 马 收 信 时 间 有 1 月 份 开 始 的 ， 有 2 月 份 开 始 的 ， 绑 定 的 电 话 号 码 也 都 不 一 样 ， 归 属 地 也 都 不 一 样 。 一 个 放 马 者 是 否 有 必 要 这 么 去 做 ？ 我 个 人 认 为 可 能 性 不 大 。 由 此 我 们 猜 测 ， 这 个 “ 马 玉 海 ” 会 不 会 是 木 马 制 作 者 ， 根 据 客 户 需 求 来 制 作 木 马 ， 而 放 马 者 有 很 多 呢 ？ 所 以 找 到 这 个 所 谓 的 “ 马 玉 海 ” 显 得 极 为 重 要 。 5 、 再 次 经 过 一 系 列 的 排 查 ， 发 现 这 些 域 名 注 册 时 登 记 的 电 话 ， 最 初 为 青 海 市 某 人 力 资 源 联 系 方 式 ， 最 新 的 记 录 为 西 宁 市 某 餐 馆 电 话 。   目 前 我 们 得 知 如 下 内 容 ： （ 1 ） 放 马 人 姓 名 ： 于 国 玲 （ 可 能 性 ： 7 0 % ）                                             马 玉 海 （ 可 能 性 ： 2 0 % ） （ 2 ） 放 马 人 电 话 ： 1 8 2 * * * * * * * * （ 可 能 性 ： 7 0 % ）                                                                       1 5 9 * * * * * * * * （ 可 能 性 ： 1 0 % ） （ 3 ） 做 马 人 姓 名 ： 马 玉 海 （ 可 能 性 ： 9 0 % ， 真 实 性 ： 3 0 % ） （ 4 ） 做 马 人 电 话 ： 1 4 5 * * * * * * * * （ 可 能 性 ： 8 0 % ， 真 实 性 ： 4 0 % ）                                                                       1 5 2 * * * * * * * * （ 可 能 性 ： 6 0 % ， 真 实 性 ： 2 0 % ） （ 5 ） 做 马 人 邮 箱 ： b a * * * * * * * * * * n g @ 1 6 3 . c o m （ 可 能 性 ： 9 0 % ， 真 实 性 ： 1 0 0 % ） 通 过 对 这 个 邮 箱 进 行 查 询 ， 发 现 ， 除 了 在 几 个 域 名 商 那 里 注 册 过 ， 其 他 毫 无 痕 迹 ， 看 来 也 是 怕 被 社 。 至 此 ， 所 有 信 息 均 无 法 作 为 决 定 性 的 证 据 。 溯 源 之 路 貌 似 毫 无 头 绪 ， 上 了 个 厕 所 ， 抽 了 支 烟 ， 重 新 整 理 了 一 下 ， 继 续 挖 掘 。 二 、 再 次 出 击 二 、 再 次 出 击 通 过 不 懈 的 努 力 ， 通 过 W h o i s 反 查 找 到 了 其 注 册 的 又 一 域 名 s h a * * * . c n ， 看 到 底 部 留 有 Q Q 。 百 度 此 Q Q ， 发 现 两 个 信 息 ： 1 、 域 名 d e r * * * . c o m
2 、 某 举 报 信 息 通 过 访 问 举 报 的 网 站 ， 发 现 页 面 风 格 与 该 放 马 人 名 下 菠 菜 网 站 一 模 一 样 ， 并 且 两 个 域 名 w h o i s 信 息 中 注 册 邮 箱 同 样 是 该 做 马 人 的 邮 箱 。 由 此 我 们 可 以 推 断 ， 此 人 即 使 不 是 放 马 人 也 与 此 人 有 关 。 三 、 初 见 眉 目 三 、 初 见 眉 目 举 报 信 息 中 的 支 付 宝 的 实 名 认 证 为 * 佳 永 ， 账 号 名 石 佳 永 ， 再 通 过 群 关 系 查 询 ， 此 人 确 实 是 叫 石 佳 永 ， 但 目 前 证 据 无 法 直 接 说 明 这 个 石 佳 永 一 定 是 做 马 人 ， 有 可 能 只 是 个 代 理 。 四 、 万 用 的 搜 索 引 擎 四 、 万 用 的 搜 索 引 擎 通 过 谷 歌 搜 索 b a i * * * * @ 1 6 3 . c o m 邮 箱 ， 发 现 一 个 手 机 号 码 ， 该 邮 箱 名 下 域 名 中 存 在 一 个 手 机 号 码 。 通 过 搜 索 该 手 机 发 现 一 个 Q Q 。
再 次 使 用 群 关 系 。 五 、 基 本 确 认 五 、 基 本 确 认 这 里 发 现 了 一 个 问 题 ， 两 个 Q Q 号 有 一 个 共 同 的 群 。 通 过 域 名 注 册 信 息 及 两 人 间 的 关 系 我 们 推 测 推 测 6 0 9 * * * * * * 这 个 Q Q 极 有 可 能 就 是 做 马 者 。 另 ， 经 查 两 个 人 都 姓 石 ， 又 是 来 自 同 一 个 村 ， 有 没 有 可 能 是 个 团 伙 呢 ？ 六 、 转 移 目 标 六 、 转 移 目 标 既 然 推 测 Q Q 6 0 9 * * * * * * 为 做 马 者 ， 我 们 重 点 的 溯 源 对 象 改 为 该 Q Q 。 通 过 社 工 库 对 此 Q Q 的 查 询 ， 发 现 其 中 一 个 密 码 的 M D 5 。 碰 撞 出 来 为 s c x * * * * * 。 将 b a i * * * * * * @ 1 6 3 . c o m 的 邮 箱 作 为 账 号 加 上 Q Q 6 0 9 * * * * * * 查 询 到 的 密 码 。 终 于 ， 我 们 成 功 登 陆 了 该 邮 箱 所 注 册 的 几 个 域 名 空 间 商 。 由 此 可 断 定 ， Q Q 6 0 9 * * * * * * 的 拥 有 者 即 为 做 马 者 。
七 、 深 入 挖 掘 七 、 深 入 挖 掘 从 做 马 者 的 小 心 程 度 来 看 ， 马 玉 海 估 计 不 可 能 是 其 真 实 姓 名 ， 我 们 继 续 对 此 进 行 深 入 的 挖 掘 。 在 易 名 网 ， 利 用 账 号 为 Q Q 6 9 * * * * * * * 的 Q Q 邮 箱 和 社 工 出 来 的 密 码 ， 成 功 登 陆 了 该 邮 箱 所 注 册 的 易 名 网 。 通 过 对 实 名 的 认 证 ， 此 人 名 石 昌 雄 ， 9 1 年 出 生 ， 身 份 证 归 属 地 广 西 桂 林 。 再 结 合 该 Q Q 邮 箱 下 的 w h o i s 信 息 n a m e 为 ： s h i c h a n g x i o n g ， O K ， 这 就 全 都 对 上 了 。
通 过 对 之 前 两 个 手 机 号 码 的 查 询 ， 两 个 号 码 均 为 广 东 佛 山 ， 又 通 过 爱 名 网 的 登 陆 记 录 发 现 ， 常 用 I P 为 广 东 中 山 。 所 以 基 本 可 以 认 定 ， 此 人 身 在 广 东 。 再 次 搜 索 1 3 4 的 手 机 号 码 发 现 ， 此 人 1 0 年 时 在 广 东 佛 山 卖 米 粉 。 八 、 深 入 的 深 入 八 、 深 入 的 深 入 再 次 搜 索 Q Q 信 息 ， 发 现 一 个 1 8 2 的 手 机 号 码 。 归 属 地 为 广 西 桂 林 。 爱 名 网 的 找 回 密 码 校 验 信 息 ， 同 时 显 示 一 个 1 8 2 号 码 注 册 的 。
查 询 支 付 宝 实 名 认 证 。 微 信 搜 索 该 号 码 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理