搜索

[13013] 2018-08-02_QQ三国盗号木马分析报告

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-08-02_QQ三国盗号木马分析报告 Q Q 三 国 盗 号 木 马 分 析 报 告 R N G o r g e o u s   F r e e B u f   2 0 1 8 - 0 8 - 0 2 一 一 . 背 景 介 绍 背 景 介 绍 近 年 来 网 络 游 戏 越 来 越 火 ， 人 们 充 值 大 量 金 钱 玩 一 个 心 爱 的 游 戏 已 成 常 态 ， 所 以 有 些 游 戏 账 号 非 常 值 钱 ， 特 别 近 年 来 网 络 游 戏 越 来 越 火 ， 人 们 充 值 大 量 金 钱 玩 一 个 心 爱 的 游 戏 已 成 常 态 ， 所 以 有 些 游 戏 账 号 非 常 值 钱 ， 特 别 是 是 Q Q 三 国 这 种 每 次 更 新 都 要 氪 金 的 游 戏 ， 虽 然 只 剩 下 部 分 老 玩 家 在 玩 ， 但 他 们 中 的 大 部 分 账 号 都 有 许 多 值 钱 三 国 这 种 每 次 更 新 都 要 氪 金 的 游 戏 ， 虽 然 只 剩 下 部 分 老 玩 家 在 玩 ， 但 他 们 中 的 大 部 分 账 号 都 有 许 多 值 钱 的 装 备 和 物 资 。 使 得 某 些 不 法 分 子 将 目 光 放 在 了 这 些 游 戏 账 号 上 面 ， 他 们 编 写 盗 号 木 马 ， 通 过 各 种 手 段 让 玩 家 的 装 备 和 物 资 。 使 得 某 些 不 法 分 子 将 目 光 放 在 了 这 些 游 戏 账 号 上 面 ， 他 们 编 写 盗 号 木 马 ， 通 过 各 种 手 段 让 玩 家 运 行 ， 窃 取 到 账 号 后 会 盗 取 装 备 和 物 资 ， 以 换 取 金 钱 。 运 行 ， 窃 取 到 账 号 后 会 盗 取 装 备 和 物 资 ， 以 换 取 金 钱 。 二 二 . 概 述 概 述 该 木 马 运 行 后 会 在 Q Q S G . e x e 所 在 目 录 释 放 T s g 1 . d l l ( 盗 号 模 块 ) ， 并 修 改 三 个 d l l 的 入 口 地 址 ， 使 得 Q Q S G . e x e 运 行 时 加 载 这 三 个 d l l 的 其 中 一 个 后 也 会 加 载 T s g 1 . d l l 。 该 盗 号 模 块 加 载 时 会 创 建 一 个 线 程 ， 负 责 将 本 地 的 网 卡 、 系 统 版 本 等 信 息 提 交 到 编 写 者 的 服 务 器 。 然 后 修 改 Q Q S G . e x e 的 关 键 地 址 ， 以 截 取 账 号 密 码 等 信 息 ， 发 送 到 编 写 者 的 服 务 器 。 图 - 盗 号 流 程 三 三 . 详 细 分 析 详 细 分 析 1 . 母 体 木 马 母 体 木 马 q q s g 5 0 1 . e x e M D 5 : 1 0 B F A F 8 0 7 9 7 7 7 8 7 8 C F B 1 5 5 B 8 7 6 5 1 D E 5 A 1 . 1   进 程 提 权 进 程 提 权
图 - 进 程 提 权 1 . 2   寻 找 寻 找 Q Q S G . e x e 创 建 进 程 快 照 ， 寻 找 Q Q S G . e x e ， 找 不 到 则 查 询 注 册 表 项 ， 还 找 不 到 就 遍 历 硬 盘 寻 找 。 图 - 在 进 程 和 注 册 表 中 寻 找 Q Q S G . e x e
图 - 遍 历 硬 盘 寻 找 Q Q S G . e x e 1 . 3   关 闭 关 闭 Q Q S G . e x e 关 闭 后 ， 玩 家 只 能 重 新 登 录 ， 然 后 被 后 面 注 入 的 模 块 盗 取 账 号 。 图 - 关 闭 Q Q S G . e x e 1 . 4   释 放 盗 号 模 块 释 放 盗 号 模 块 T s g 1 . d l l 图 - 释 放 T s g 1 . d l l 1 . 5   修 改 三 个 修 改 三 个 d l l 修 改 三 个 d l l （ d s o u n d . d l l 、 Z l i b 1 . d l l 、 D i s p l a y D 3 D 8 _ D l l . d l l ） 的 D L L M a i n 入 口 地 址 ， 使 其 被 加 载 时 顺 便 加 载 盗 号 模 块 T s g 1 . d l l ， 加 载 完 会 自 我 修 复 。
图 - 修 改 d l l 1 . 6   自 我 删 除 自 我 删 除 做 完 d l l 注 入 的 工 作 后 ， 会 自 我 删 除 。 图 - 自 我 删 除 2 . 盗 号 模 块 盗 号 模 块 T s g 1 . d l l M D 5 : 0 6 5 A B 6 C 5 4 1 6 D C 2 1 6 8 B 8 3 F D 1 7 8 A 6 8 8 9 5 2 . 1   检 测 加 载 该 检 测 加 载 该 d l l 的 进 程 的 进 程 图 - 检 测 进 程
2 . 2   发 送 本 机 信 息 发 送 本 机 信 息 创 建 一 个 线 程 获 取 本 机 的 网 卡 、 系 统 等 信 息 ， 然 后 发 送 到 H T t p : / / c d a 3 . d n s d a t e . c o m : 6 2 9 9 ， 并 会 请 求 文 件 ， 写 入 临 时 文 件 夹 ， 因 为 域 名 已 无 法 访 问 ， 该 行 为 无 法 明 确 。 图 - 发 送 请 求 图 - 发 送 内 容 2 . 3   H O O K   Q Q S G . e x e 关 键 指 令 关 键 指 令 从 Q Q S G . e x e 代 码 起 始 地 址 开 始 寻 找 匹 配 、 修 改 某 些 位 置 的 代 码 ， 因 为 Q Q S G . e x e 加 了 P E L o c k 壳 保 护 ， 只 能 结 合 其 余 5 个 未 被 该 d l l 调 用 却 会 发 送 数 据 或 截 屏 给 编 写 者 服 务 器 的 函 数 （ s u b _ 1 0 0 0 4 C 0 4 、 s u b _ 1 0 0 0 4 C 9 7 、 s u b _ 1 0 0 0 4 C 4 8 、 s u b _ 1 0 0 0 4 D 4 4 、 s u b _ 1 0 0 0 4 D 7 0 ） ， 猜 测 这 段 代 码 是 H O O K 了 5 个 关 键 位 置 代 码 ， 分 别 跳 转 到 这 5 个 函 数 ， 并 向 编 写 者 服 务 器 发 送 各 种 账 号 信 息 。
图 - 修 改 代 码 2 . 4   发 送 账 号 信 息 发 送 账 号 信 息 s u b _ 1 0 0 0 4 C 0 4 会 检 查 通 过 H O O K 传 递 过 来 的 参 数 是 何 种 账 号 信 息 ， 并 决 定 将 其 发 送 到 编 写 者 服 务 器 的 哪 个 地 址 ， 地 址 由 函 数 s u b _ 1 0 0 0 4 3 D B 解 密 得 到 。 有 三 个 接 收 地 址 ： h t t p : / / 2 2 2 . 1 8 6 . 5 5 . 2 1 3 : 8 1 0 7 / g k / l i n . a s p h t t p : / / 2 2 2 . 1 8 6 . 5 5 . 2 1 3 : 8 1 0 7 / g k / m b . a s p h t t p : / / 2 2 2 . 1 8 6 . 5 5 . 2 1 3 : 8 1 0 7 / g k / p i c . a s p 图 - 检 查 传 递 过 来 的 参 数
图 - 发 送 账 号 信 息 2 . 5   发 送 截 图 发 送 截 图 s u b _ 1 0 0 0 4 D 7 0 通 过 H O O K 得 到 执 行 机 会 后 会 创 建 线 程 ， 进 行 截 屏 并 且 发 送 图 片 到 编 写 者 的 服 务 器 ， 可 能 是 想 得 到 密 保 卡 。
图 - 截 屏 图 - 发 送 图 片 四 ． 总 结 四 ． 总 结 该 木 马 运 用 了 在 资 源 表 隐 藏 文 件 、 D L L 入 口 劫 持 和 优 先 加 载 当 前 目 录 下 d l l 方 式 实 现 D L L 注 入 、 H O O K 游 戏 关 键 指 令 获 取 账 号 密 码 、 截 屏 、 发 送 请 求 等 技 术 来 实 现 盗 号 的 功 能 ， 全 程 十 分 隐 蔽 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： R N G o r g e o u s ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理