搜索

[11784] 2017-09-15_“大黄蜂”远控挖矿木马分析与溯源

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-15_“大黄蜂”远控挖矿木马分析与溯源 “ 大 黄 蜂 ” 远 控 挖 矿 木 马 分 析 与 溯 源 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 9 - 1 5 事 件 背 景 事 件 背 景 ： ： 近 日 ， 腾 讯 安 全 反 病 毒 实 验 室 发 现 了 一 类 远 控 木 马 具 有 爆 发 的 趋 势 。 通 过 跟 踪 发 现 ， 此 类 木 马 不 仅 保 留 了 远 控 的 功 能 ， 而 且 随 着 虚 拟 货 币 价 格 的 水 涨 船 高 ， 木 马 加 入 了 挖 矿 的 功 能 ， 用 近 日 ， 腾 讯 安 全 反 病 毒 实 验 室 发 现 了 一 类 远 控 木 马 具 有 爆 发 的 趋 势 。 通 过 跟 踪 发 现 ， 此 类 木 马 不 仅 保 留 了 远 控 的 功 能 ， 而 且 随 着 虚 拟 货 币 价 格 的 水 涨 船 高 ， 木 马 加 入 了 挖 矿 的 功 能 ， 用 用 户 的 机 器 来 实 现 自 己 利 益 的 最 大 化 。 通 过 哈 勃 同 源 系 统 的 分 析 发 现 ， 木 马 作 者 还 在 频 繁 的 更 新 木 马 功 能 、 感 染 用 户 量 也 在 迅 速 增 加 ， 值 得 引 起 我 们 足 够 用 户 的 机 器 来 实 现 自 己 利 益 的 最 大 化 。 通 过 哈 勃 同 源 系 统 的 分 析 发 现 ， 木 马 作 者 还 在 频 繁 的 更 新 木 马 功 能 、 感 染 用 户 量 也 在 迅 速 增 加 ， 值 得 引 起 我 们 足 够   的 关 注 。 下 面 我 们 会 从 感 染 的 关 注 。 下 面 我 们 会 从 感 染 后 现 象 、 影 响 范 围 、 技 术 分 析 及 溯 源 上 做 详 细 介 绍 和 分 析 。 后 现 象 、 影 响 范 围 、 技 术 分 析 及 溯 源 上 做 详 细 介 绍 和 分 析 。 现 象 现 象 与 与 危 害 ： 危 害 ： 感 染 现 象 感 染 现 象 感 染 该 类 木 马 后 ， 您 的 计 算 机 C P U 经 常 占 用   1 0 0 % ， 并 且   会 发 现 常 驻 进 程   w i n I n i t . e x e 。 同 时 ， 查 看 启 动 的 服 务 ， 会 发 现 名 为 A p a c h e   T o m c a t   9 . 0   T o m c a 9   的 服 务 处 于 启 动 状 态 。 影 响 范 围 ： 影 响 范 围 ： 通 过 访 问 黑 客 的 服 务 器 ， 可 以 看 到 恶 意 程 序   x z . e x e 和 x z 3 2 . e x e   都 有 上 万 的 下 载 量 。   并 且 ， 通 过 观 察 发 现 ， 每 日 新 增 下 载 量 也 不 断 增 大 ，   病 毒 程 序 感 染 了 越 来 越 多 的 受 害 者 。 技 术 技 术 分 析 ： 分 析 ： 通 过 分 析 发 现 ， 该 木 马 启 动 后 ， 会 释 放 多 个 可 执 行 文 件 ， 我 们 按 其   实 现 的 不 同 的   功 能 ， 将 这 些 可   执 行 程 序 ， 划 分 为 远 控 模 块 、 挖 矿 模 块 和 清 理 模 块 三 个 模 块 ， 分 别 用 于 远 程 控 制 、 虚 拟 货 币 挖 矿 以 及 删 除 清 理 文 件 以 躲 避 查 杀 。 下 面 我 们 将 从 技 术 细 节 上 详 细 介 绍 下 主 要 的 模 块   。 远 控 模 块 远 控 模 块 1 .   8 8 8 . e x e 运 行 后 会 从   资 源 里 释 放 d l l   文 件 ， 并 命 名 为 随 机 名 。 接 着   ，   8 8 8 . e x e   会 将 释 放 的 d l l 文 件 注 册 为 R e m o t e A c c e s s 服 务   项   ， 并 通 过 从 新 启 动 服 务 已 得 到 加 载 该 d l l 。
该 d l l 加 载 后 ， 会 删 除 系 统 l o g 日 志 ， 并 将 自 身 复 制 为 % P r o g r a m D a t a % A e b b l n r o q . p s d   ， 同 时 ， 还 会 向   % P r o g r a m D a t a % A e b b l n r o q . p s d 写 入 大 量 随 机 数 以 躲 避 云 查 ，   但 我 们 发 现 ， 有   一 定 的 几 率 会 把 % P r o g r a m D a t a % A e b b l n r o q . p s d 文 件 写 坏 ， 导 致 无 法 正 常 运 行 。 接 着 会   注 册 % P r o g r a m D a t a % A e b b l n r o q . p s d   为 T o m c a t 9   服 务 ： 2 .   8 8 8 1 . e x e 运 行 后 会 在 % T E M P % 目 录   释 放 随 机 名 的 d l l 文 件 ， 并 调 用 其 导 出 函 数 I n s t a l l   ， 安 装 该 d l l 为 服 务 名 为 M i c r o s o f t   C o r p o r a t i o n o t 的   服 务 。 服 务 启 动 后 ， 获 取 、 加 密 用 户 计 算 机 版 本 信 息 等 隐 私 信 息 发 送 到 服 务 器 ， 并 等 待 服 务 器 的 远 控 指 令   。 通 过 对 发 送 数 据 以 及 加 密 方 式 的 分 析 ， 我 们 可 以 看 出 发 送 的 数 据 和 加 密 方 式 和 G h 0 s t 远 控 非 常 相 似 ， 可 以 认 定 其 为 G h 0 s t 远 控 的 变 种 ： （ 解 密 后 的 数 据 ） 3 .   s e r v e r . e x e 运 行 后 会 复 制 自 身 为 随 机 名 ， 并 在 文 件 最 后 填 充 大 量 的 0 ， 使 得 大 小 可 以 有 2 0 多 M ， 用 来 躲 避 云 查 。 随 后   将 该 文 件 注 册 为 系 统 服 务 。
挖 矿 模 块 挖 矿 模 块 木 马 启 动 后 会 在 % T E M P % 目 录 下 释 放 x m r i g b u . e x e   可 执 行 文 件 ， 该 可 执 行 文 件 首 先 会 将 自 身 复 制 到 % w i n d i r % w 1 n i n i t . e x e   ： w 1 n i n i t . e x e 运 动 后 会 创 建 % T E M P % w i n 1 n i t w i n 1 n i t . e x e 用 于   挖 矿 ， 该 文 件 由 U P X 加 壳   保 护 。 通 过 分 析 发 现 ， % T E M P % w i n 1 n i t w i n 1 n i t . e x e   会 首 先 访 问 服 务 器 获 取 挖 矿 信 息 ， 包 括 矿 池 、 矿 工 I D 等 ， 随 后 会 配 置 好 参 数 进 行 挖 矿   ： 我 们 可 以 看 到 服 务 器 返 回 的 矿 池 和 矿 工 信 息 ， 通 过 查 询 矿 工 的 收 益   ， 可 以 看 到 不 长 时 间 内 ， 已 经 挖 到 了   1 4 个 M o n e r o 币 ， 按 当 前 < i m g   s r c = " h t t p s : / / c h a r t . g o o g l e a p i s . c o m / c h a r t ? c h t = t x & c h l = 1 2 0 % E 7 % 9 A % 8 4 % 3 C % 2 F s p a n % 3 E % 3 C s p a n % 2 0 s t y l e % 3 D % 2 2 % 2 2 % 3 E % E 4 % B B % B 7 % E 6 % A 0 % B C % E 7 % A E % 9 7 % E F % B C % 8 C % 3 C % 2 F s p a n % 3 E % 3 C s p a n % 2 0 s t y l e % 3 D % 2 2 % 2 2 % 3 E % E 5 % B 7 % B 2 % E 7 % B B % 8 F % E 6 % 9 4 % B 6 % E 7 % 9 B % 8 A " a l t = " 1 2 0 的 价 格 算 ， 已 经 收 益 " >   1 6 8 0 ， 折 合 人 民 币 1 0 8 4 0 元 。 清 理 模 块 清 理 模 块 恶 意 木 马 运 行 最 后 会 创 建 % T E M P %   ~ D e L ! . b A t 文 件 ，   用 来 删 除 自 身 ，   从 而 达 到 隐 藏 的   目 的 。 溯 源 ： 溯 源 ：
由 上 边 的 分 析 可 以 看 到 该 木 马 访 问 了 7 . m e 和 和 6 . m e   两 个 域 名 ， 查 询 其 i p 地 址 为 5 0 . . . 3 8   ， 位 于 美 国 境 内 。   查 询 域 名 的 w h o i s 信 息 发 现 ， 其 w h o i s 信 息 有 隐 私 保 护 ， 未 能 查 到 有 效 的 信 息 ： 我 们 通 过 访 问 黑 客 的 服 务 器 ， 跟 踪 发 现 服 务 器   出 现 了 一 个 名 为 “ 桌 面 . z i p   ” 的 压 缩 包 文 件   。 下 载 解 压 缩 该 文 件 ， 其 中 有 一 个 名 为 “ 何 以 解 忧 V e r 6 . 3 s . e x e ”   的   文 件 ， 该 文 件 为 . N e t 编 写 ， 通 过 分 析 该   二 进 制 里 边 包 含 的   链 接 地 址 w w w . 0 * . c o m   ， 经 由 w h o i s 查 询   ， 我 们 得 知 了 一 些 黑 客 作 者 的 信 息 ： 其 中 ， 可 以 看 到 ， 该 域 名 注 册 者 名 为 H u a n g   F e n g ，   地 址 为 福 建 泉 州 市 ( F u   J i a n   S h e n g   Q u a n   Z h o u   S h i   Z h o n g   S h a n   N a n   L u   ) ， 电 话 为 1 3 2 0 0 2 4 ， ， [ 邮 箱 为 邮 箱 为 1 0 * * 6 0 @ q q . c o m ] ( m a i l t o : % E 9 % 8 2 % A E % E 7 % A E % B 1 % E 4 % B 8 % B A 1 0 * * 6 0 @ q q . c o m ) 。 从 邮 箱 地 址 我 们 可 以 得 到 域 名 注 册 者 的 Q Q 号 码 为 1 0 * * 6 0 。 通 过 这 些 信 息 ， 我 们 可 以 对 该 木 马 作 者 做 出   更 加   详 细 的 画 像 。 通 过 域 名 注 册 者 的 电 话 号 码 查 询 其 支 付 宝 帐 号 ， 我 们 可 以 看 到 其 地 区 为 福 建 泉 州 ， 与 域 名 w h o i s 注 册 信 息 相 符 ， 可 以 确 定 w h o i s 注 册 信 息   的 准 确 性 。   由 于 支 付 宝 帐 户 名 称 和 真 实 姓 名 有 隐 私 保 护 ， 我 们 暂 为 得 知 其 真 实 姓 名 和 支 付 宝 注 册 邮 箱 信 息 。
通 过 在 搜 索 引 擎 上 查 询 其 Q Q 号 码 ， 可 以 看 到 该 木 马 作 者 活 跃 于 各 类 工 具 类 论 坛 ， 热 衷 于 提 权 、 D D o S   、 僵 尸 网 络 等 技 术 ：   接 着 ， 我 们 查 询 其 Q Q 信 息 ， 得 知 木 马 作 者 年 龄 可 能 在 1 8 岁 左 右 ：
我 们 进 一 步 去 访 问 其 Q Q 空 间 ， 可 以 看 到 其 相 册 封 面 是 只 黄 蜂 ， 同 时   ， 相 册 里 有 张 王 者 荣 耀 的 截 图 ， 得 知 其 王 者 荣 耀 帐 号 名 称 为 “ b u m b l e b e e s ”   ， 为 大 黄 蜂 的 意 思 。   通 过   分 析 的 照 片 可 以 看 到 作 者 应 该 年 纪 不 大 。 其 中 一 个 相 册 需 要 密 码 访 问 ， 而 密 码 提 示 为 “ 啥 子 学 校 ” ， 可 以 间 接 印 证 木 马 作 者 应 该 还 在 上 学 或 刚 毕 业   ， 与 Q Q 登 记 的   1 8 岁 相 符 合 。 通 过 以 上 的 溯 源 分 析 ， 我 们 可 以 得 到 该 木 马 作 者 的 基 本 画 像 ： 年 龄 ： 1 8 岁 地 址 ： 福 建 泉 州 市 爱 好 ： 黑 客 工 具 、 论 坛 ； 王 者 荣 耀 目 前 ， 腾 讯 电 脑 管 家 和 哈 勃 分 析 系 统 均 可 以 准 备 识 别 该 类 病 毒 ， 安 装 电 脑 管 家 的 用 户 无 需 担 心 感 染 该 病 毒   。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理