搜索

[14088] 2019-05-10_DDoS黑吃黑：流氓软件“钱蜜”的悲催

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-05-10_DDoS黑吃黑：流氓软件“钱蜜”的悲催 D D o S 黑 吃 黑 ： 流 氓 软 件 “ 钱 蜜 ” 的 悲 催 F r e e B u f   2 0 1 9 - 0 5 - 1 0 以 下 文 章 来 源 于 安 全 豹   ， 作 者 安 全 豹 赞 赏 账 户 背 景 描 述 背 景 描 述 近 期 ， 毒 霸 监 测 到 一 款 近 期 ， 毒 霸 监 测 到 一 款 D D O S 木 马 的 感 染 量 呈 现 出 上 升 趋 势 ， 而 同 时 呈 现 出 相 同 增 长 趋 势 的 ， 还 有 部 分 流 氓 软 木 马 的 感 染 量 呈 现 出 上 升 趋 势 ， 而 同 时 呈 现 出 相 同 增 长 趋 势 的 ， 还 有 部 分 流 氓 软 件 。 经 过 溯 源 分 析 ， 我 们 发 现 上 述 件 。 经 过 溯 源 分 析 ， 我 们 发 现 上 述 2 类 软 件 均 来 自 上 海 奇 陆 网 络 科 技 有 限 公 司 的 一 款 叫 做 类 软 件 均 来 自 上 海 奇 陆 网 络 科 技 有 限 公 司 的 一 款 叫 做 “ 钱 蜜 省 钱 助 手 钱 蜜 省 钱 助 手 ” 的 软 的 软 件 。 件 。 该 软 件 除 了 根 据 云 端 配 置 文 件 ， 下 载 推 广 流 氓 软 件 外 ， 还 会 劫 持 主 页 、 篡 改 浏 览 器 收 藏 夹 、 盗 取 Q Q 的 T o k e n 在 Q Q 部 落 发 广 告 ， 使 目 标 电 脑 变 成 肉 鸡 ， 进 行 D D O S 攻 击 。 有 趣 的 是 ， 该 病 毒 下 载 的 D D O S 木 马 内 部 竟 还 包 含 一 个 后 门 ， 猜 测 该 D D O S 样 本 是 在 某 个 木 马 生 成 器 中 生 成 的 ， 而 生 成 器 的 作 者 又 在 其 内 部 留 下 了 后 门 。 技 术 分 析 技 术 分 析 该 病 毒 的 主 要 运 行 流 程 如 下 ： 当 钱 蜜 安 装 完 成 后 ， 会 在 安 装 目 录 释 放 以 下 文 件 ： 安 全 豹 安 全 豹   . 专 注 网 络 安 全 ， 分 享 更 多 优 质 文 章 。
q m . e x e 为 软 件 主 程 序 ， 该 程 序 根 据 启 动 参 数 的 不 同 ， 激 活 不 同 的 功 能 ： 若 启 动 参 数 为 / f r o m = q m _ a z b ， 则 从 d o w n . q m 1 8 8 . c o m / u p d a t e c f g 2 . i n i 下 载 配 置 文 件 ， 程 序 根 据 配 置 文 件 中 的 标 志 指 令 ， 下 载 安 装 不 同 的 文 件 ， 以 我 们 当 前 分 析 的 程 序 为 例 ， 该 程 序 获 取 到 的 标 志 为 1 ， 根 据 这 个 标 志 从 d o w n . q m 1 8 8 . c o m / u p d a t e a l l . 7 z 下 载 得 到 了 一 个 加 密 的 压 缩 包 文 件 u p d a t e a l l . 7 z ：
该 压 缩 包 经 过 解 密 后 ， 解 压 释 放 出 d e m o . d l l ， 该 文 件 会 继 续 从 d o w n . q m 1 8 8 . c o m / c h e c k . 7 z 下 载 一 个 加 密 的 压 缩 包 ， 包 内 包 含 一 个 l o c k . d l l ， 该 D L L 文 件 封 装 了 针 对 市 面 上 常 见 浏 览 器 的 劫 持 修 改 函 数 ：
而 d e m o . d l l 则 主 要 执 行 ： 1 . 篡 改 浏 览 器 收 藏 夹 ， 静 默 替 换 收 藏 项 链 接 ； 2 . 安 装 浏 览 器 插 件 ； 3 . 锁 定 主 页 为 h a o . 3 6 0 . c n / ? s r c = l m & l s = n 4 2 a 7 f c 6 c 9 2 。 被 针 对 进 行 篡 改 的 浏 览 器 如 下 ： 在 劫 持 完 浏 览 器 之 后 ， 还 会 安 装 e b u y a s t 4 0 5 1 0 . e x e 和 M y T h i r d D e m o . e x e ， 前 者 主 是 另 一 个 助 手 类 软 件 ， 而 后 者 则 会 根 据 云 端 t e s t . i n i 的 配 置 文 件 ， 下 载 运 行 ： S e r v i c e D e m o . e x e 、 S e r v i c e S e c o n d D e m o . e x e 、 S e r v i c e T h i r d D e m o . e x e ， 这 三 个 程 序 最 终 通 过 t e s t c o n f i g . i n i 文 件 ， 下 载 安 装 所 需 要 推 广 的 软 件 以 及 D D O S 木 马 、 盗 号 木 马 等 程 序 ：
以 下 载 的 灭 神 7 7 7 7 . e x e 为 例 ， 首 先 从 作 者 的 网 站 w w w . w u 5 2 q . c n / ? c = P u b l i c & a = g e t _ c o n f i g 获 得 相 关 配 置 属 性 （ 猜 测 是 接 下 来 要 刷 回 复 的 Q Q 部 落 信 息 ） ， 然 后 通 过 获 取 本 机 登 录 的 Q Q 的 C o o k i e 以 及 T o k e n ， 获 得 C l i e n t K e y 之 后 构 建 对 应 的 U R L ， 快 速 登 录 Q Q 部 落 成 功 后 ， 往 指 定 b i d 的 部 落 内 回 复 指 定 帖 子 ：
实 际 效 果 如 下 ： 而 下 载 运 行 D D O S 木 马 ， 通 过 读 取 N a t i o n a l e s s g f 服 务 是 否 存 在 来 判 断 是 否 已 经 被 感 染 运 行 。 若 未 运 行 ， 则 会 连 接 黑 客 的 远 程 服 务 器 1 0 4 . 2 3 3 . 2 3 1 . 1 9 9 : 6 3 6 6 接 收 指 令 。
该 D D O S 木 马 具 体 接 收 的 指 令 和 用 途 如 下 ， 从 部 分 错 误 的 代 码 书 写 方 式 （ 指 令 1 6 ） 来 看 ， 病 毒 本 身 还 存 在 一 些 问 题 ： 我 们 经 过 分 析 后 发 现 ， 该 木 马 除 了 常 规 的 远 控 功 能 （ D D O S 攻 击 、 远 程 执 行 文 件 、 自 更 新 、 隐 藏 窗 口 打 开 浏 览 器 等 ） 外 ， 其 内 部 还 竟 然 包 含 了 一 个 额 外 的 远 控 后 门 ：
当 系 统 时 间 大 于 2 0 1 3 年 9 月 2 0 日 时 ， 则 会 创 建 线 程 执 行 远 控 ， 远 控 地 址 为 ： x l . m r d a r k d d o s . c o m ， 猜 测 病 毒 作 者 可 能 只 是 在 网 上 查 找 到 了 某 个 远 控 程 序 的 代 码 或 者 生 成 器 ， 而 生 成 的 D D O S 木 马 本 身 却 包 含 了 后 门 ， 可 谓 是 忙 活 了 半 天 ， 却 为 别 人 做 了 “ 嫁 衣 ” ： * 本 文 作 者 ： 安 全 豹 ， 转 载 请 注 明 来 自 本 文 作 者 ： 安 全 豹 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理