搜索

[15426] 2020-05-28_国内“双枪”僵尸网络利用百度贴吧图像进行分发

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2020-05-28_国内“双枪”僵尸网络利用百度贴吧图像进行分发 国 内 “ 双 枪 ” 僵 尸 网 络 利 用 百 度 贴 吧 图 像 进 行 分 发 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 5 - 2 8 玩 个 游 戏 也 能 被 黑 客 盯 上 ？ 电 脑 设 备 一 不 小 心 就 沦 为 玩 个 游 戏 也 能 被 黑 客 盯 上 ？ 电 脑 设 备 一 不 小 心 就 沦 为 “ 肉 鸡 肉 鸡 ” 。 僵 尸 网 络 潜 藏 在 人 们 的 日 常 生 活 中 ， 表 面 看 似 波 。 僵 尸 网 络 潜 藏 在 人 们 的 日 常 生 活 中 ， 表 面 看 似 波 澜 不 惊 ， 实 则 暗 潮 涌 动 。 澜 不 惊 ， 实 则 暗 潮 涌 动 。 三 年 内 感 染 规 模 超 三 年 内 感 染 规 模 超 1 0 万 万 “ 双 枪 ” 木 马 是 针 对 w i n d o w s 系 统 的 大 规 模 恶 意 木 马 。 自 2 0 1 7 年 7 月 开 始 活 动 ， 在 过 去 三 年 中 ， “ 双 枪 ” 木 马 影 响 范 围 较 小 ， 但 是 随 着 规 模 的 逐 步 扩 大 ， 如 今 ， 该 木 马 病 毒 已 经 已 经 活 跃 于 国 内 各 大 社 交 网 站 和 游 戏 论 坛 。 “ 双 枪 ” 木 马 主 要 是 通 过 网 络 共 享 诱 饵 应 用 程 序 进 行 分 发 ， 为 社 交 网 络 和 游 戏 论 坛 提 供 盗 版 游 戏 ， 使 用 M B R 和 V B R 引 导 程 序 感 染 用 户 设 备 ， 安 装 各 种 恶 意 驱 动 程 序 ， 并 在 本 地 应 用 程 序 窃 取 凭 据 。 “ 双 枪 ” 木 马 的 恶 意 行 为 主 要 包 含 以 下 三 种 ： 1 、 向 用 户 发 送 广 告 和 垃 圾 邮 件 的 恶 意 功 能 ， 在 用 户 设 备 劫 持 账 号 ， 并 以 此 发 送 和 传 播 广 告 ； 2 、 从 合 法 的 电 商 网 站 劫 持 流 量 ， 并 将 感 染 用 户 定 向 引 导 到 指 定 网 站 ， 目 前 该 功 能 已 删 除 ； 3 、 禁 用 网 络 安 全 软 件 。 “ 双 枪 ” 木 马 近 年 来 屡 次 开 展 大 规 模 互 动 ， 屡 屡 被 曝 光 和 打 击 后 仍 可 死 灰 复 燃 ， 由 此 可 见 其 根 基 “ 深 厚 ” ， 规 模 庞 大 。 关 闭 部 分 僵 尸 网 络 后 端 基 础 架 构 ， 其 中 大 部 分 都 在 使 用 百 度 的 贴 吧 图 像 托 管 服 务 ， 部 分 使 用 了 阿 里 云 存 储 托 管 配 置 文 件 。
I O C 关 联 分 析 通 过 样 本 溯 源 可 以 看 到 ， 这 次 大 规 模 感 染 主 要 是 通 过 诱 导 用 户 安 装 包 含 恶 意 代 码 的 网 游 私 服 客 户 端 ， 具 体 感 染 方 式 大 体 分 为 两 种 ， 一 是 启 动 器 内 含 恶 意 代 码 ， 二 是 D L L 劫 持 。
启 动 器 内 包 含 恶 意 代 码 方 式 可 分 为 三 个 感 染 阶 段 ： 1 、 用 户 下 载 含 恶 意 代 码 的 私 服 客 户 端 并 执 行 ， 恶 意 代 码 访 问 配 置 信 息 服 务 器 后 ， 从 贴 吧 下 载 并 加 载 c s . d l l 最 新 版 恶 意 程 序 ； 2 、 c s . d l l   会 进 行 一 些 简 单 的 虚 拟 机 和 杀 软 对 抗 ， 利 用 百 度 统 计 服 务 上 报   僵 尸 网 络 信 息 ， 释 放 第 3 阶 段 V M P 加 壳 的 驱 动 程 序 ； 3 、 所 有 敏 感 的 配 置 信 息 都 保 存 在 驱 动 内 部 ， D L L 通 过 调 用 驱 动 来 获 得 配 置 服 务 器 相 关 信 息 ， 根 据 下 载 的 配 置 信 息 去 百 度 贴 吧 下 载 其 它 恶 意 代 码 ， 进 行 下 一 阶 段 的 恶 意 活 动 。 D L L 劫 持 感 染 方 式 依 然 是 以 私 服 客 户 端 为 载 体 ， 多 款 类 似 游 戏 的 私 服 客 户 端 的 组 件 p h o t o b a s e . d l l   被 替 换 成 同 名 的 恶 意 D L L 文 件 ， 执 行 可 分 为 两 个 阶 段 ： 1 、 首 先 会 释 放 相 应 架 构 的 恶 意 驱 动 程 序 ， 然 后 注 册 系 统 服 务 并 启 动 ； 2 、 加 载 真 正 的   p h o t o b a s e . d l l   文 件 ， 并 将 导 出 函 数 转 发 到 真 正 的   p h o t o b a s e . d l l 。 过 去 三 年 来 ， “ 双 枪 ” 一 直 在 从 百 度 贴 吧 下 载 图 像 。 这 些 图 像 包 含 秘 密 代 码 （ 使 用 一 种 称 为 隐 写 术 的 技 术 隐 藏 在 图 像 内 部 ） ， 该 代 码 为 “ 双 枪 ” 僵 尸 网 络 提 供 了 感 染 主 机 执 行 操 作 的 指 令 。 在 过 去 的 两 个 星 期 中 ， 3 6 0 联 手 百 度 追 踪 打 击 “ 双 枪 ” 木 马 ， 一 直 在 删 除 “ 双 枪 ” 使 用 的 图 像 ， 并 记 录 来 自 受 感 染 主 机 的 链 接 ， 因 此 发 现 僵 尸 网 络 规 模 巨 大 。 目 前 ， 僵 尸 网 络 规 模 估 计 为 “ 数 十 万 ”   ， 打 击 活 动 在 持 续 进 行 中 。 在 此 提 醒 广 大 读 者 ， 不 要 随 意 点 击 陌 生 链 接 或 者 下 载 未 知 的 应 用 程 序 ， 避 免 感 染 恶 意 木 马 ， 沦 为 “ 肉 鸡 ” 。 参 考 来 源 ： 双 枪 团 伙 新 动 向 ， 借 云 服 务 管 理 数 十 万 僵 尸 网 络 奇 虎 和 百 度 破 坏 了 感 染 成 千 上 万 用 户 的 恶 意 软 件 僵 尸 网 络 * 本 文 作 者 ： 本 文 作 者 ： S a n d r a 1 4 3 2 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理