搜索

[9048] 2015-06-21_一个QQ钓鱼木马事件的深度追踪

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-06-21_一个QQ钓鱼木马事件的深度追踪 一 个 Q Q 钓 鱼 木 马 事 件 的 深 度 追 踪 F r e e B u f   2 0 1 5 - 0 6 - 2 1 微 信 号 微 信 号 f r e e b u f 0 x 0 1 今 天 早 上 刚 起 来 ， 一 个 朋 友 就 发 给 我 一 个 文 件 ， 一 看 文 件 的 名 字 是 拿 货 清 单 . t b z 2 ， 我 第 一 感 觉 是 病 毒 ， 然 后 就 打 电 话 告 诉 我 的 那 个 朋 友 ， 她 的 Q Q 号 码 可 能 被 盗 了 ， 让 她 赶 快 修 改 密 码 ， 她 改 完 之 后 ， 这 件 事 情 本 来 应 该 结 束 的 ， 因 为 我 的 好 奇 心 ， 还 有 发 现 这 个 木 马 是 免 杀 的 ， 所 以 就 去 分 析 了 下 这 个 木 马 ， 然 后 就 有 了 后 来 的 事 情 。 0 x 0 2 样 本 图 标 ： 是 不 是 感 觉 很 诡 异 ， 压 缩 前 的 文 件 竟 然 比 压 缩 后 的 文 件 还 要 大 5 0 0 0 K ， 我 用 W i n h e x 打 开 ， 发 现 里 面 有 这 个 完 整 的 P E ， 才 看 了 下 原 来 压 缩 比 例 是 1 0 0 % ， 根 本 就 没 进 行 压 缩 算 法 ， 而 且 在 压 缩 包 的 文 件 末 尾 还 加 了 好 多 没 用 的 数 据 ， 看 来 这 作 者 是 在 构 建 畸 形 压 缩 包 ， 起 到 Q Q 传 输 木 马 不 被 发 现 里 面 包 含 P E 的 作 用 。
0 x 0 3 用 户 通 过 打 开 压 缩 包 ， 双 击 运 行 压 缩 包 里 的 木 马 后 ， 木 马 会 运 行 起 来 ， 然 后 从 自 身 资 源 释 放 一 张 图 片 到 电 脑 上 ， 通 过 系 统 调 用 打 开 图 片 ， 起 到 迷 糊 用 户 的 目 的 ， 用 户 以 为 打 开 的 是 图 片 … … < 部 分 技 术 细 节 请 点 击 最 下 方 阅 读 全 文 > 动 态 创 建 控 件 ， 伪 装 Q Q 重 新 登 录 的 界 面 构 造 的 界 面 如 图 所 示 ， 感 觉 挺 真 的 ， 不 认 真 看 真 看 不 来 ： 用 户 点 登 陆 后 ， 会 弹 出 2 次 ， 如 果 2 次 密 码 输 入 的 一 样 ， 就 会 把 密 码 发 送 到 远 程 服 务 器 ， 这 是 发 送 到 远 程 服 务 器 的 地 址 ： 0 x 0 4 通 过 对 这 个 地 址 的 挖 掘 ， 发 现 是 一 个 企 业 的 网 站 ：
只 有 一 个 解 释 就 是 ， 这 个 网 站 被 入 侵 了 ， 木 马 作 者 把 转 发 脚 本 放 到 网 站 上 ， 靠 转 发 脚 本 把 窃 取 到 的 账 号 和 密 码 发 到 他 真 正 的 服 务 器 ， 木 马 作 者 之 所 以 这 么 干 ， 可 能 是 因 为 3 6 0 会 拦 截 发 往 黑 域 名 或 者 黑 I P 的 数 据 ， 作 者 是 靠 企 业 网 站 做 中 转 ， 这 样 木 马 向 这 个 中 转 网 站 发 数 据 ， 3 6 0 不 会 拦 截 ， 因 为 这 些 企 业 网 站 是 可 信 域 名 。 于 是 就 试 图 找 下 这 个 站 的 漏 洞 ， 原 来 这 个 站 是 用 的 老 版 本 的 t h i n k p h p ， 存 在 漏 洞 截 图 ： 于 是 挂 上 菜 刀 ， 发 现 / v a r / w w w / h t m l / s o c k e t / 目 录 下 的 确 实 存 在 一 个 转 发 脚 本 ， 是 4 月 3 0 号 刚 上 传 上 去 的 ， 可 以 看 出 来 这 人 是 通 过 比 较 老 的 T H I N K P H P 漏 洞 拿 到 的 w e b s h e l l , 如 图 ：
这 个 脚 本 具 有 转 发 数 据 的 功 能 ， 附 加 上 中 毒 者 的 I P 后 转 到 真 正 的 服 务 器 ， 也 就 是 Q Q 木 马 的 箱 子 地 址 。 0 x 0 5 通 过 对 地 址 的 进 一 步 挖 掘 找 到 了 作 者 的 通 过 对 地 址 的 进 一 步 挖 掘 找 到 了 作 者 的 Q Q 号 ， 和 他 女 朋 友 的 号 ， 和 他 女 朋 友 的 Q Q ： ： 木 马 作 者 的 Q Q ： 4 1 0 2 * 4 2 * *
估 计 是 他 女 朋 友 的 Q Q 号 ： 5 2 9 9 4 4 * * *

另 一 个 女 朋 友 吧 ？ 另 一 个 女 朋 友 吧 ？ 2 4 5 7 3 5 * * *   真 实 姓 名   宋 晶 作 者 的 百 度 知 道 ： 木 马 作 者 发 的 易 语 言 帖 子 ， 2 0 1 1 年 就 开 始 找 写 木 马 的 高 手 了 。
超 级 管 理 员 登 录 地 址 ， 截 图 ： 一 般 用 户 登 录 地 址 截 图
使 用 木 马 的 诈 骗 者 用 的 工 具 ， 从 通 过 这 个 软 件 去 采 集 信 息 ， 采 集 一 些 大 企 业 的 邮 箱 ， 通 过 邮 箱 群 发 工 具 把 木 马 发 出 去 ： 今 天 没 事 就 去 互 联 网 上 随 便 搜 了 搜 ， 人 肉 结 果 如 下 ， 拒 绝 查 水 表 ， 谢 谢 ！ 通 过 Q Q 查 看 到 Q Q 微 博 帐 号 是 a 4 1 0 2 6 4 2 * * ， 得 知 这 人 的 邮 箱 地 址 可 能 是 ： a 4 1 0 2 6 4 2 * * @ 1 6 3 . c o m   a 4 1 0 2 6 4 2 * * @ 1 2 6 . c o m
然 后 通 过 支 付 宝 的 转 账 功 能 看 了 下 ， 果 真 有 个 1 6 3 的 邮 箱 ： 真 名 ： * 耀 泉 和 Q Q 资 料 相 符 ： 可 以 看 出 就 是 这 人 的 真 实 姓 名
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理