搜索

[11745] 2017-09-04_揭秘盗取“羊毛党”比特币的钓鱼攻击事件一例C2服务器跟踪分析报告

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-09-04_揭秘盗取“羊毛党”比特币的钓鱼攻击事件一例C2服务器跟踪分析报告 揭 秘 盗 取 “ 羊 毛 党 ” 比 特 币 的 钓 鱼 攻 击 事 件   |   一 例 C 2 服 务 器 跟 踪 分 析 报 告 d o n g x u n   F r e e B u f   2 0 1 7 - 0 9 - 0 4 1   概 述 概 述 行 文 之 前 先 界 定 两 个 概 念 。 羊 毛 党 ， 指 关 注 与 热 衷 于 “ 薅 羊 毛 ” 的 群 体 ， 是 指 那 些 专 门 选 择 企 业 的 营 销 活 动 、 广 告 投 放 等 ， 以 低 成 本 甚 至 零 成 本 来 换 取 高 额 奖 励 的 人 。 早 期 网 站 站 上 利 用 虚 假 点 击 来 获 取 广 告 受 益 ， 到 现 在 利 用 各 种 营 销 机 制 漏 洞 、 程 序 漏 洞 来 “ 薅 ” 企 业 推 广 的 费 用 的 两 类 群 体 ， 本 文 都 统 称 为 “ 羊 毛 党 ” 。 比 特 币 ， 英 语 B i t c o i n ， 是 一 种 全 球 通 用 的 互 联 网 加 密 数 字 货 币 ， 与 传 统 的 由 特 定 机 构 发 行 或 控 制 的 中 心 化 虚 拟 货 币 不 同 ， 比 特 币 采 用 点 对 点 网 络 开 发 的 区 块 链 技 术 ， 具 有 去 中 心 化 、 匿 名 不 易 追 踪 的 特 点 ， 因 此 很 多 黑 客 利 用 比 特 币 逃 避 交 易 跟 踪 ， 比 如 w a n n a c r y 等 总 众 多 勒 索 软 件 作 者 。 当 比 特 币 作 为 新 兴 电 子 资 产 被 越 来 越 多 的 人 了 解 和 使 用 时 ， 热 爱 新 鲜 事 物 的 羊 毛 党 们 靠 着 敏 锐 的 嗅 觉 也 开 始 推 当 比 特 币 作 为 新 兴 电 子 资 产 被 越 来 越 多 的 人 了 解 和 使 用 时 ， 热 爱 新 鲜 事 物 的 羊 毛 党 们 靠 着 敏 锐 的 嗅 觉 也 开 始 推 陈 出 新 ， 一 边 利 用 比 特 币 来 进 行 交 易 逃 避 监 管 ， 一 边 利 用 各 种 陈 出 新 ， 一 边 利 用 比 特 币 来 进 行 交 易 逃 避 监 管 ， 一 边 利 用 各 种 “ 薅 羊 毛 薅 羊 毛 ” 方 式 来 赚 取 比 特 币 积 累 财 富 。 然 而 ， 在 方 式 来 赚 取 比 特 币 积 累 财 富 。 然 而 ， 在 这 个 行 业 繁 荣 的 背 后 ， 隐 藏 着 另 一 神 秘 的 群 体 ， 如 同 太 极 里 的 阴 阳 ， 有 光 明 必 有 黑 暗 ， 有 繁 荣 必 有 摧 毁 繁 荣 ， 这 个 行 业 繁 荣 的 背 后 ， 隐 藏 着 另 一 神 秘 的 群 体 ， 如 同 太 极 里 的 阴 阳 ， 有 光 明 必 有 黑 暗 ， 有 繁 荣 必 有 摧 毁 繁 荣 ， 这 个 神 秘 的 群 体 寄 居 在 这 个 神 秘 的 群 体 寄 居 在 “ 羊 毛 党 羊 毛 党 ” 之 上 ， 贪 婪 地 薅 着 同 样 贪 婪 地 之 上 ， 贪 婪 地 薅 着 同 样 贪 婪 地 “ 羊 毛 党 羊 毛 党 ” 的 羊 毛 。 的 羊 毛 。 近 期 ， 东 巽 科 技 2 0 4 6 L a b 利 用 东 巽 威 胁 情 报 中 心 的 全 球 C 2 （ 也 称 C & C ， C o m m a n d   a n d   C o n t r o l   S e r v e r 缩 写 ， 指 木 马 的 控 制 和 命 令 服 务 器 ） 监 控 平 台 ， 就 跟 踪 到 这 样 一 批 神 秘 群 体 。 东 巽 科 技 的 全 球 C 2 监 控 平 台 ， 实 时 监 控 着 采 集 到 的 全 球 C 2 的 存 活 状 态 。 2 0 4 6 L a b 的 安 全 研 究 员 通 过 算 法 ， 在 监 控 结 果 中 发 现 了 一 批 非 常 相 似 类 型 C 2 上 线 。 通 过 对 这 些 C 2 进 行 深 入 跟 踪 分 析 后 ， 发 现 了 一 些 有 趣 的 现 象 ， 某 个 C 2 区 区 几 百 个 受 害 者 ， 但 被 窃 取 的 帐 号 密 码 却 有 近 十 万 对 ， 如 下 图 。 据 此 ， 我 们 推 测 这 些 受 害 者 应 该 不 是 普 通 的 网 民 ， 于 是 对 整 个 C 2 、 受 害 者 和 攻 击 者 进 行 了 全 面 深 入 的 分 析 。 图   C 2 控 制 中 心 截 图 2   C 2 与 木 马 分 析 与 木 马 分 析
2 . 1   C 2 与 钓 鱼 页 面 与 钓 鱼 页 面 本 次 发 现 的 C 2 主 要 位 于 域 名 a - w o r k . i n f o 下 ， 该 域 名 下 有 3 个 C 2 ， 且 登 陆 界 面 一 样 ， 基 本 断 定 三 个 C 2 属 于 同 一 个 组 织 操 控 ， 并 攻 击 了 不 少 受 害 者 ， 如 下 表 。 C 2 受 害 者 总 量 受 害 者 总 量 密 码 总 量 密 码 总 量 l o g g e r * * 总 量 总 量 * * h t t p : / / a - w o r k . i n f o / c o r e 6 6 6 3 2 2 9 2 5 3 0 1 6 2 1 3 h t t p : / / a - w o r k . i n f o / c o r e 9 9 9 2 4 3 4 9 9 5 4 3 9 3 0 h t t p : / / a - w o r k . i n f o / s t e a m x 8 0 1 0 4 8 7 - 攻 击 者 是 如 何 攻 下 这 些 受 害 者 ？ 我 们 通 过 跟 踪 分 析 发 现 ， 攻 击 者 制 造 了 非 常 精 美 的 比 特 币 相 关 钓 鱼 页 面 ， 并 托 管 在 h t t p : / / f i l e - l o a d e r . d o w n l o a d / g e n 4 b t c 和   h t t p : / / u l j o b . i n f o / b t c g e n / 两 个 地 址 ， 引 诱 受 害 者 下 载 钓 鱼 页 面 提 供 的 “ 比 特 币 生 成 器 ” ， 如 下 图 。
图   “ 比 特 币 生 成 器 ” 钓 鱼 网 页 然 而 ， 这 款 “ 比 特 币 生 成 器 ” 实 际 上 是 一 个 名 为 A g e n t   T e s l a 的 K e y l o g g e r 类 型 木 马 ， 其 功 能 主 要 有 窃 取 浏 览 器 、 邮 件 、 F T P 等 密 码 ， 收 集 键 盘 记 录 、 粘 贴 板 信 息 ， 获 取 截 屏 和 网 络 摄 像 头 。 受 害 者 一 旦 被 植 入 该 木 马 ， 则 会 将 上 述 密 码 、 信 息 发 送 到 a - w o r k . i n f o 下 某 个 C 2 控 制 中 心 。 2 . 2   木 马 流 量 分 析 木 马 流 量 分 析 安 全 研 究 员 从 上 述 钓 鱼 页 面 下 载 了 所 谓 的 “ 比 特 币 生 成 器 ” ， 运 行 后 进 行   了 流 量 分 析 。   在 捕 获 的 数 据 包 中 ， 可 以 明 显 的 看 到 木 马 连 回 a - w o r k . i n f o 站 点 ， 如 下 图 。 图   木 马 执 行 后 回 连 C 2 同 时 ， 捕 获 到 以 下 数 据 包 ： 1 、 发 送 受 害 者 基 本 信 息 到 服 务 器 , 关 键 参 数 为 t y p e = i n f o ， 其 他 h w i d 为 唯 一 编 号 ， p c n a m e 为 用 户 名 和 计 算 机 名 称 。 2 、 每 隔 2 分 钟 发 送 一 次 心 跳 包 ， 关 键 参 数 为 t y p e = u p d a t e 。 3 、 发 送 屏 幕 截 图 ， 关 键 参 数 为 t y p e = s c r e e n s h o t s , 数 据 字 段 为 s c r e e n ， 截 图 数 据   数 据 量 较 大 ， 内 容   用 ｛ $ d a t a ｝ 代 替 。 4   、 发 送 键 盘 记 录 和 粘 贴 板 记 录 ， 关 键 参 数 为 t y p e = k e y l o g ， 数 据 字 段 为 l o g d a t a ， 内 容 较 多 用 { $ d a t a } 代 替 。 5 、 发 送 窃 取 的 密 码   ， 关 键 字 段 为 t y p e = p a s s w o r d s ， 数 据 字 段 为 u s e r n a m e 和 p a s s w o r d ， 内 容 较 多 用 较 多 用 { $ d a t a } 代 替 。 综 合 以 上 数 据 可 以 看 到 ， 木 马 的 流 量 中 关 键 指 令 为 t y p e = i n f o / u p d a t e / s c r e e n s h o t s / k e y l o g / p a s s w o r d s ， 每 一 次 通 信 过 程 中 ， 数 据 字 段 都 有 h w i d 、 p c n a m e 、 l o g d a t a 、 s c r e e n 、 i p a d d 、 w e b c a m _ l i n k 、 c l i e n t 、 l i n k 、 u s e r n a m e 、 p a s s w o r d 、 s c r e e n _ l i n k ， 网 关 类 的 设 备 可 以 此 为 基 础 来 生 成 检 测 和 阻 断 规 则 。 2 . 3   木 马 行 为 分 析 木 马 行 为 分 析 安 全 研 究 员 同 时 对 木 马 运 行 后 的 行 为 进 行 了 分 析 ， 捕 获 到 以 下 木 马 特 征 行 为 ： 1 、 木 马 启 动 后 伪 造 报 错 信 息 并 复 制 自 身 到 C : U s e r s 当 前 用 户 A p p D a t a L o c a l T e m p   目 录   ， 然 后 自 删 除 。
图   释 放 文 件 2 、 修 改 注 册 表 ， 并 将 自 己 添 加 到   启 动 项 中 。 图   修 改 注 册 添 加 启 动 项 目 3 、 安 装 键 盘 钩 子 获 取 k e y l o g ： 图   修 改 键 盘 钩 子 2 . 4   木 马 生 成 器 分 析 木 马 生 成 器 分 析 根 据 木 马 的 行 为 分 析 来 看 ， 这 款 木 马 还 是 具 有 很 明 显 的 木 马 特 征 ， 按 道 理 很 多 杀 软 应 该 可 以 轻 易 的 查 杀 ， 但 为 什 么 还 是 有 不 少 受 害 者 中 招 ， 抱 着 这 个 好 奇 心 以 及 本 着 透 彻 分 析 的 原 则 ， 东 巽 2 0 4 6 L a b 的 安 全 研 究 员 对 木 马 的 生 成 器 进 行 了 分 析 。 由 于 没 有 捕 获 到 本 次 攻 击 者 使 用 的 生 成 器 ， 考 虑 到 和 官 方 的 生 成 器 存 在 一 致 性 ， 便 对 官 方 的 生 成 器 进 行 分 析 做 参 考 。 A g e n t   t e s l a 是 一 款 市 面 上 公 开 的 k e y l o g g e r 类 型 木 马 ， 其 官 网 为 h t t p s : / / w w w . a g e n t t e s l a . c o m / ， 如 下 图 。 透 过 官 网 可 以 看 到 ， 页 面 做 得 非 常 专 业 ， 提 供 木 马 的 同 时 提 供 w e b   p a n e l 管 理 页 面 和 私 有 加 密 ； 支 持 全 系 列 W i n d o w s 系 统 ； 服 务 也 是 非 常 周 到 ， 提 供 自 动 购 买 、 激 活 和 7 x 2 4 小 时 的 支 持 ， 可 以 算 是 达 到 了 S a s S 行 业 的 标 准 。
图   A g e n t   t e s l a 官 网 安 全 研 究 员 对 生 成 器 的 分 析 结 果 如 下 ： 1 、 木 马 支 持 W E B 、 F T P   、 邮 件 三 种   数 据 接 收 方 式 ， 很 明 显 本 次 跟 踪 到 的 C 2 采 用 了 w e b 接 收 方 式 。 图   数 据 发 送 方 式 配 置 2 、 木 马 的 记 录 器 （ L O G G E R ） 功 能 可 进 行 任 意 配 置 ， 如   键 盘 记 录 、 粘 贴 板 记 录 、 截 屏 、 摄 像 头 拍 照 ，   正 好 印 证 了 木 马 流 量 分 析 结 果 。
图   木 马 记 录 器 配 置 3 、 木 马 窃 取 密 码 种 类 繁 多 ， 几 乎 涵 盖 了 主 流 的 浏 览 器 、 邮 件 客 户 端 （ 连 国 内 常 用 的 f o x m a i l 都 包 含 了 ） 和 一 些 f t p 、 W i n s c p 等 管 理 工 具 ， 并 可 以 随 意 配 置 。 图   木 马 窃 取 密 码 配 置 4 、 木 马 生 成 器 的   常 见 配 置 中 还 包 括 了 安 装 时 b y p a s s   U A C ， 直 接 杀 进 程 、 禁 用 任 务 管 理 器 、 系 统 恢 复 等 功 能 ， 甚 至 可 配 置 运 行 后 伪 装 成 提 示 、 报 错 等 功 能 来 迷 惑 受 害 者 。
图   安 装 配 置 图   安 装 后 提 示 信 息 该 生 成 器 每 次 生 成 的 木 马 h a s h 都 不 一 样 ， 综 合 以 上 木 马 生 成 器 分 析 ， 结 合 该 木 马 作 者 团 队 推 出 的 定 期 更 新 服 务 ， 推 测 受 害 者 中 招 的 主 要 原 因 为 木 马 具 有 较 强 的 免 杀 能 力 和 迷 惑 性 。 3   受 害 者 分 析 受 害 者 分 析 3 . 1   行 业 分 析 行 业 分 析 如 前 述 ， 根 据 受 害 者 数 量 和 密 码 数 量 的 比 值 ， 推 测 受 害 者 不 是 普 通 网 名 。 于 是 安 全 研 究 员 将 受 害 者 的 数 据 进 行 整 理 和 统 计 ， 发 现 了 更 加 有 意 思 内 容 ， 大 部 分 单 个 受 害 者 的 账 号 和 密 码 数 量 都 很 大 ， 甚 至 某 单 个 受 害 的 帐 号 密 码 居 然 高 达 9 5 1 0 条 。 受 害 者 是 谁 ， 做 什 么 行 业 需 要 大 量 的 账 号 和 密 码 ？ 安 全 研 究 员 对 受 害 者 账 号 密 码 对 应 的 站 点 进 行 了 统 计 ， 截 取 了 总 量 前 2 0 的 网 站 ： 序 号 序 号 网 站 网 站 出 现 数 量 出 现 数 量 1 h t t p s : / / m a i l . r u / 5 9 9 2 h t t p s : / / a c c o u n t s . g o o g l e . c o m / S e r v i c e L o g i n 5 8 8 3 h t t p s : / / f r e e b i t c o . i n / 4 1 4 4 h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n . p h p 3 5 1 5 h t t p s : / / f r e e d o g e . c o . i n / 3 0 8 6 h t t p s : / / b l o c k c h a i n . i n f o / w a l l e t / 3 0 7 7 h t t p s : / / w w w . f a c e b o o k . c o m / 2 9 4 8 h t t p s : / / a d b t c . t o p / i n d e x / a u t h o r i z e 2 8 3 9 h t t p : / / k a p i t a l o f . c o m / i n d e x . p h p 2 7 9 1 0 h t t p s : / / a c c o u n t . m a i l . r u / l o g i n / 2 7 9 1 1 h t t p s : / / a d b t c . t o p / i n d e x / a c c / w i t h d r a w _ b t c 2 5 5 1 2 h t t p s : / / p a s s p o r t . y a n d e x . r u / p a s s p o r t 2 5 4 1 3 h t t p s : / / v k . c o m / l o g i n 2 3 6 1 4 h t t p s : / / m a i l . y a n d e x . r u / 2 3 5 1 5 h t t p s : / / v i x i c e . c o m / r u / 2 3 0
1 6 h t t p : / / b o n u s b i t c o i n . c o / 2 1 7 1 7 h t t p s : / / p a y e e r . c o m / r u / a c c o u n t / 2 1 4 1 8 h t t p s : / / a c c o u n t s . g o o g l e . c o m / s i g n i n / v 2 / s l / p w d 2 1 4 1 9 h t t p s : / / e . m a i l . r u / l o g i n 2 1 3 2 0 h t t p s : / / b l o c k c h a i n . i n f o / r u / w a l l e t / 2 1 3 序 号 序 号 网 站 网 站 出 现 数 量 出 现 数 量 排 除 常 见 的 邮 箱 、 社 交 站 点 外 ， 安 全 研 究 员 分 析 了 靠 前 几 个 站 点 。 其 中 ： h t t p s : / / f r e e b i t c o . i n   ( 英 语 ) ， 注 册 进 去 后 发 现 这 个 网 站 功 能 齐 全 ， 包 括 投 资 、 赌 博 、 推 广 等 内 容 ， 经 营 行 业 横 跨 金 融 理 财 、 赌 博 、 挖 矿 等 行 业 。 图   f r e e b i t c o . i n 站 点 h t t p s : / / f r e e d o g e . c o . i n / （ 英 文 ） ，   是 一 个 免 费 获 取 d o g e c o i n s （ 国 内 称 “ 狗 币 ” ） 的 站 点 。
图   f r e e d o g e . c o . i n 站 点 h t t p : / / a d b t c . t o p   ( 英 语 ) ， 可 以 理 解 成 用 比 特 币 结 算 的 广 告 联 盟 。 图   a d b t c . t o p 站 点 h t t p : / / k a p i t a l o f . c o m   ( 俄 语 ) ， 是 个 云 挖 矿 类 型 的 网 站 ， 靠 售 卖 算 力 盈 利 ， 同 时 也 提 供 推 广 ， 返 利 按 级 别 分 别 为 2 0 % ， 1 0 % ， 3 % ， 2 % ， 1 % 。
图   k a p i t a l o f . c o m 站 点 通 过 以 上 网 站 分 析 ， 受 害 者 访 问 多 是 和 比 特 币 等 虚 拟 币 相 关 的 网 站 ， 结 合 木 马 伪 装 成 “ 比 特 币 生 成 器 ” 来 看 ， 我 们 认 为 受 害 者 主 要 是   跟   虚 拟 货 币 相 关 的 “ 羊 毛 党 ” ， 从 事 S E O 、 广 告 、   挖 矿 、 薅 羊 毛 等 网 赚 项 目 。 3 . 2   地 域 分 析 地 域 分 析 受 害 者 共 计 6 4 5 个 ， 通 过 分 析 受 害 者 的 I P 地 理 位 置 信 息 ， 发 现 受 害 者 主 要 来 自 俄 语 系 国 家 ，   其 中 又 以   俄 罗 斯 为 最 为 严 重 ， 占 到 了 近 一 半 的 比 例 ， 这 也 印 证 了 上 述 站 点 中 为 何 m a i l . r u 排 名 靠 前 ， 且 v k . c o m 和 y a n d e x . r u 等 典 型 俄 语 系 社 交 站 点 也 靠 前 。 图   受 害 者 国 家 分 布
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理