搜索

[14173] 2019-05-31_YouTube出现“比特币生成器”，实则是木马传播程序

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-05-31_YouTube出现“比特币生成器”，实则是木马传播程序 Y o u T u b e 出 现 “ 比 特 币 生 成 器 ” ， 实 则 是 木 马 传 播 程 序 K a r u n e s h 9 1   F r e e B u f   2 0 1 9 - 0 5 - 3 1 近 日 油 管 上 出 现 大 量 关 于 近 日 油 管 上 出 现 大 量 关 于 “ 比 特 币 生 成 器 比 特 币 生 成 器 ” 的 广 告 宣 传 视 频 ， 号 称 该 工 具 可 为 用 户 免 费 生 成 比 特 币 ， 实 际 上 却 是 的 广 告 宣 传 视 频 ， 号 称 该 工 具 可 为 用 户 免 费 生 成 比 特 币 ， 实 际 上 却 是 一 个 散 布 一 个 散 布 Q u l a b 信 息 窃 取 和 剪 贴 板 劫 持 木 马 的 恶 意 行 为 。 信 息 窃 取 和 剪 贴 板 劫 持 木 马 的 恶 意 行 为 。 该 活 动 由 安 全 研 究 员 F r o s t 发 现 ， 他 表 示 已 对 此 木 马 行 为 追 踪 了 1 5 天 左 右 ， 每 次 发 现 类 似 视 频 并 上 报 的 时 候 ， Y o u T u b e 都 会 很 快 将 视 频 删 除 并 封 禁 相 应 用 户 ， 但 治 标 不 治 本 ， 很 快 又 会 有 新 的 账 户 出 现 上 传 类 似 视 频 。 视 频 上 传 者 视 频 的 内 容 是 介 绍 一 个 号 称 可 以 免 费 生 成 比 特 币 的 工 具 ， 并 附 带 下 载 链 接 ， 该 工 具 实 际 上 是 一 个 木 马 程 序 ， 以 及 一 个 h t t p s : / / f r e e b i t c o . i n 网 站 的 链 接 。 如 图 ：
木 马 宣 传 视 频 当 用 户 点 击 视 频 中 的 下 载 链 接 时 ， 会 跳 转 到 一 个 S e t u p . e x e 文 件 的 下 载 页 面 。 如 果 用 户 下 载 并 运 行 该 文 件 ， 则 计 算 机 内 将 会 被 植 入 Q u l a b 木 马 。 程 序 下 载 页 面 Q u l a b 木 马 木 马 这 个 Y o u T u b e 骗 局 中 推 送 的 恶 意 程 序 是 Q u l a b 信 息 窃 取 和 剪 贴 板 劫 持 木 马 。 程 序 执 行 后 ， 木 马 会 将 自 身 复 制 到 % A p p D a t a % a m d 6 4 _ m i c r o s o f t - w i n d o w s - n e t i o - i n f r a s t r u c t u r e m s a u d i t e . m o d u l e . e x e 这 个 位 置 并 启 动 。 根 据 F u l a i k 0 关 于 Q u l a b 上 的 文 章 可 以 了 解 到 ， Q u l a b 木 马 会 窃 取 用 户 浏 览 器 历 史 记 录 、 保 存 浏 览 器 凭 据 、 c o o k i e ， 以 及 F i l e Z i l l a 、 D i s c o r d 和 S t e a m 中 保 存 到 凭 据 。 该 木 马 还 会 从 计 算 机 中 窃 取 . t x t 、 . m a F i l e 和 . w a l l e t 文 件 。 除 此 之 外 ， Q U l a b 还 会 成 为 剪 贴 板 劫 持 程 序 或 限 幅 器 ， 也 就 是 说 它 可 以 监 控 W i n d o w s 剪 贴 板 中 出 现 的 数 据 ， 并 且 在 检 测 到 数 据 时 ， 还 能 将 其 与 攻 击 者 想 要 的 不 同 数 据 做 出 交 换 。 在 当 前 的 攻 击 场 景 中 ， Q u l a b 会 寻 找 已 经 复 制 到 剪 贴 板 中 的
加 密 货 币 地 址 ， 并 将 其 交 换 出 来 。 由 于 加 密 货 币 的 地 址 是 长 字 符 串 并 且 难 以 口 头 记 忆 ， 所 以 很 多 用 户 都 不 会 发 觉 他 们 所 记 录 的 地 址 已 经 被 悄 悄 的 换 成 了 别 的 内 容 ， 攻 击 者 可 以 通 过 这 种 方 式 大 肆 窃 取 加 密 货 币 。 F u m i k 0 _ 的 分 析 表 明 Q u l a b 支 持 以 下 C l i p p e r 组 件 的 加 密 货 币 地 址 ： 在 编 译 被 盗 数 据 时 ， 木 马 程 序 会 通 过 T e l e g r a m 将 其 发 送 给 攻 击 者 ， 如 下 所 示 ： 如 果 不 幸 感 染 了 该 木 马 ， 请 立 即 更 改 常 用 账 户 以 及 网 站 的 密 码 。 再 次 建 议 ， 请 尝 试 使 用 密 码 管 理 器 为 每 个 账 户 创 建 唯 一 且 强 大 的 密 码 。 * 参 考 来 源 ： 参 考 来 源 ： b l e e p i n g c o m p u t e r ， ， K a r u n e s h 9 1 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理