搜索

[11374] 2017-05-21_远控木马中的VIP：盗刷网购账户购买虚拟礼品卡

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-21_远控木马中的VIP：盗刷网购账户购买虚拟礼品卡 远 控 木 马 中 的 V I P ： 盗 刷 网 购 账 户 购 买 虚 拟 礼 品 卡 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 5 - 2 1 为 了 省 钱 ， 很 多 人 会 尝 试 各 种 各 样 的 方 法 免 费 获 取 网 盘 和 视 频 网 站 的 为 了 省 钱 ， 很 多 人 会 尝 试 各 种 各 样 的 方 法 免 费 获 取 网 盘 和 视 频 网 站 的 V I P 权 限 。 正 因 为 有 这 种 需 求 ， 各 种 所 谓 的 权 限 。 正 因 为 有 这 种 需 求 ， 各 种 所 谓 的 “ 网 盘 不 限 网 盘 不 限 速 神 器 速 神 器 ” 或 是 或 是 “ V I P 助 手 助 手 ” 也 就 应 运 而 生 了 。 但 这 个 工 具 那 个 助 手 的 真 就 靠 谱 么 ？ 也 就 应 运 而 生 了 。 但 这 个 工 具 那 个 助 手 的 真 就 靠 谱 么 ？ 3 6 0 互 联 网 安 全 中 心 最 近 就 连 续 接 到 了 两 起 互 联 网 安 全 中 心 最 近 就 连 续 接 到 了 两 起 关 于 此 类 程 序 的 举 报 。 关 于 此 类 程 序 的 举 报 。 两 起 举 报 的 程 序 ， 一 个 是 “ 百 度 网 盘 不 限 速 工 具 ” ， 而 另 一 个 则 是 “ 全 网 V I P 解 析 助 手 ” （ 视 频 网 站 V I P 工 具 ） ， 而 举 报 的 原 因 全 都 是 — — 自 己 莫 名 其 妙 的 就 购 买 了 多 张 i T u n e s 电 子 礼 品 卡 。 以 其 中 “ 百 度 网 盘 不 限 速 工 具 ” 为 例 ， 现 在 依 然 可 以 在 搜 索 引 擎 中 轻 松 搜 索 到 相 关 信 息 ：
俗 话 说 “ 做 戏 要 做 足 ” ， 这 个 木 马 还 是 挺 专 业 的 。 如 果 你 下 载 回 来 之 后 直 接 运 行 这 个 破 解 工 具 ， 其 实 是 什 么 都 不 会 发 生 的 — — 因 为 他 会 查 找 百 度 网 盘 的 进 程 ：
  如 果 找 不 到 百 度 网 盘 进 程 ， 就 直 接 退 出 了 ， 什 么 都 不 做 。 而 一 旦 存 在 有 B a i d u N e t d i s k . e x e 的 进 程 ， 便 会 发 起 一 个 H T T P 请 求 确 认 版 本 。
然 后 会 顺 手 p a t c h 一 下 B a i d u N e t d i s k . e x e 的 进 程 ， 但 是 不 是 真 的 能 加 速 就 不 得 而 知 了 。 不 过 这 也 不 是 重 点 ， 重 点 是 p a t c h 完 之 后 ， 它 会 继 续 释 放 了 几 个 真 正 的 木 马 文 件 ： 最 后 再 把 这 个 创 建 的 S y s t e C s r s s . e x e 跑 起 来
释 放 的 三 个 程 序 ， 其 实 是 一 个 比 较 典 型 的 白 利 用 远 控 木 马 。 首 先 ， S y s t e m C s r s s . e x e 带 有 “ 北 京 世 纪 奥 通 科 技 有 限 公 司 ” 的 签 名 。   而 改 程 序 启 动 的 时 候 ， 导 入 表 会 自 动 加 载 那 个 l i b c e f . d l l ：
其 次 ， 这 个 l i b c e f . d l l 实 际 上 也 只 是 一 个 L o a d e r 。 一 旦 执 行 ， 回 去 加 载 并 执 行 最 后 释 放 的 那 个 名 为 d a t a . l n k 的 S h e l l C o d e 运 行 起 来 之 后 ， 其 实 就 是 个 普 通 的 远 控 了 — — 先 是 从 一 个 服 务 器 上 拿 到 了 远 控 上 线 域 名 ：
之 后 就 是 远 控 上 线 ， 接 受 黑 客 控 制 ： 最 终 ， 在 受 害 人 机 器 上 展 示 出 的 现 象 就 是 在 用 户 离 开 的 时 候 ， 黑 客 利 用 远 控 程 序 向 受 害 人 机 器 下 达 命 令 ， 创 建 了 一 个 新 的 管 理 员 权 限 用 户 ， 再 利 用 微 软 自 带 的 远 程 桌 面 功 能 登 录 受 害 人 机 器 （ 这 样 方 便 黑 客 使 用 图 形 界 面 操 纵 受 害 人 机 器 ） ：
并 在 完 全 不 知 情 的 情 况 下 使 用 受 害 人 账 户 购 买 了 多 张 i T u n e s 电 子 礼 品 卡 ：
实 际 上 该 程 序 早 已 被 3 6 0 识 别 并 查 杀 了 ：
        而 用 户 之 所 以 中 招 ， 是 因 为 用 户 有 时 太 相 信 所 谓 的 辅 助 工 具 被 杀 毒 软 件 而 用 户 之 所 以 中 招 ， 是 因 为 用 户 有 时 太 相 信 所 谓 的 辅 助 工 具 被 杀 毒 软 件 “ 误 报 误 报 ” 是 正 常 现 象 ， 所 以 选 择 了 自 行 将 木 马 程 序 加 是 正 常 现 象 ， 所 以 选 择 了 自 行 将 木 马 程 序 加 入 了 白 名 单 中 ： 入 了 白 名 单 中 ：         借 此 机 会 提 供 广 大 用 户 ， 3 6 0 不 会 随 便 误 报 所 谓 的 “ 外 挂 ” 或 “ 辅 助 工 具 ” ， 报 毒 一 定 有 原 因 ， 为 了 自 己 的 财 产 安 全 ， 请 一 定 要 相 信 安 全 软 件 的 “ 判 断 力 ” 。 * 本 文 作 者 ： 3 6 0 安 全 卫 士 （ 企 业 帐 号 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理