搜索

[10510] 2016-09-16_看看影音恶意挖矿行为分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-09-16_看看影音恶意挖矿行为分析 看 看 影 音 恶 意 挖 矿 行 为 分 析 渔 村 安 全   F r e e B u f   2 0 1 6 - 0 9 - 1 6 近 日 ， 部 分 用 户 出 现 电 脑 近 日 ， 部 分 用 户 出 现 电 脑 G P U 占 用 率 高 ， 电 脑 温 度 升 高 ， 风 扇 噪 声 增 大 等 问 题 。 具 体 现 象 为 电 脑 中 占 用 率 高 ， 电 脑 温 度 升 高 ， 风 扇 噪 声 增 大 等 问 题 。 具 体 现 象 为 电 脑 中 C 盘 可 使 用 空 间 骤 降 ， 盘 可 使 用 空 间 骤 降 ， 且 在 且 在 C 盘 盘 E t h a s h 文 件 夹 内 ， 发 现 存 在 大 量 的 文 件 夹 内 ， 发 现 存 在 大 量 的 1 G 左 右 的 垃 圾 文 件 ； 电 脑 闲 置 状 态 时 ， 风 扇 转 速 增 快 ， 电 脑 发 热 增 加 ， 左 右 的 垃 圾 文 件 ； 电 脑 闲 置 状 态 时 ， 风 扇 转 速 增 快 ， 电 脑 发 热 增 加 ， G P U 使 使 用 率 达 到 用 率 达 到 1 0 0 % 。 非 闲 置 状 态 时 ， 恢 复 正 常 。 经 过 远 程 调 试 分 析 发 现 是 看 看 影 音 在 后 台 偷 偷 利 用 用 户 电 脑 的 运 算 资 源 进 行 以 。 非 闲 置 状 态 时 ， 恢 复 正 常 。 经 过 远 程 调 试 分 析 发 现 是 看 看 影 音 在 后 台 偷 偷 利 用 用 户 电 脑 的 运 算 资 源 进 行 以 太 币 （ 一 种 类 似 比 特 币 的 数 字 货 币 ） 挖 矿 导 致 。 太 币 （ 一 种 类 似 比 特 币 的 数 字 货 币 ） 挖 矿 导 致 。   [ 看 看 影 音 的 版 本 和 公 司 信 息 ] 安 装 看 看 影 音 后 ， 会 注 册 组 件 % A P P _ D A T A % V i d e o   L e g e n d R B C P r o g r a m R B C S h e l l E x t e r n a l . d l l 到 注 册 表 的 e x p l o r e r 加 载 项 ， 从 而 开 机 即 可 加 载 运 行 ， 然 后 通 过 l u a 脚 本 控 制 ， 下 载 挖 矿 模 块 到 本 地 利 用 G P U 挖 矿 ， 整 个 流 程 如 下 图 所 示 ：   [ 看 看 影 音 挖 矿 行 为 整 体 流 程 简 图 ] R B C S h e l l E x t e r n a l . d l l 分 析 分 析 该 组 件 是 一 个 商 业 功 能 模 块 ， R B C 是 R e m o t e   B u s s i n e s s   C o n t r o l 的 缩 写 。 顾 名 思 义 ， 这 个 模 块 可 以 通 过 远 程 配 置 来 控 制 用 户 电 脑 上 运 行 不 同 的 模 块 ， 比 如 升 级 、 修 复 、 广 告 弹 窗 、 推 广 安 装 等 ， 也 包 括 挖 矿 。 R B C S h e l l E x t e r n a l . d l l 会 通 过 r u n d l l 3 2 . e x e 来 加 载 模 块 R B C E n t r y . d l l ， 并 通 过 命 令 行 参 数 来 检 测 调 试 工 具 。
  [ 加 载 R B C E n t r y . d l l 的 命 令 行 ] 完 整 命 令 行 如 下 ： r u n d l l 3 2 . e x e ” % A P P _ D A T A % V i d e o   L e g e n d R B C P r o g r a m R b c E n t r y . d l l ” ,   C o n t r o l _ R u n D L L / t h r e a d   / s r c   . . . . X a r R b c . x a r   / k i l l e x   / p r i o r i t y   0   / c h e c k t i m e   / d e l a y   1   / i d l e % d   / b u s y   % d     / d e b u g   / b k w n d l i s t ” M i c r o s o f t   V i s u a l ; H T T P A n a l y z e r ; W i n D B G ; O l l y D e b u g ; f i d d l e r ; S m a r t S n i f f ; t t t t t t t t S p y + + ; S p y ; A T L / M F C ; 任 务 管 理 器 ; D e b u g V i e w ; P r o c e s s         E x p l o r e r ; F i l e   M o n i t o r ; R e g i s t r y M o n i t o r ; W i r e s h a r k ; O l l y I C E ; O l l y D B G ; S y s i n t e r n a l s ”   / b k p r o c e s s l i s t ” f i d d l e r . e x e ; w i n d b g . e x e ; d e v e n v . e x e ; t a s k m g r . e x e ; w i r e s h a r k . e x e ; t t t t t t t t t h t t p a n a l y z e r . e x e ; s m s n i f f . e x e ; f i l e m o n . e x e ; r e g m o n . e x e ; p r o c m o n . e x e ; o l l y d b g . e x e ; s o f t i c e . e x e ; c i s . e x e ; t t t t t t t t t t a s k l i s t . e x e ; p r o c e x p . e x e ; o l l y i c e . e x e ; p r o c e s s s p y . e x e ; s p y x x . e x e ; w i n s p y . e x e ; c v . e x e ” 参 数 / s r c 指 定 了 要 加 载 的 l u a 脚 本 模 块 ( 已 打 包 成 x a r 格 式 ) ， 通 过 l u a 脚 本 来 控 制 任 务 ； 参 数 / b k w n d l i s t 指 定 要 查 找 的 窗 口 标 题 ， 参 数 / b k p r o c e s s l i s t 指 定 要 查 找 的 进 程 名 ， 一 旦 枚 举 到 指 定 的 窗 口 或 进 程 名 ， 立 刻 结 束 进 程 ， 防 止 被 用 户 发 现 。   L U A 脚 本 分 析 脚 本 分 析 R b c E n t r y . d l l 封 装 了 L U A 引 擎 ， 加 载 后 首 先 解 析 R b c . x a r ， 然 后 调 用 其 中 的 o n l o a d . l u a ， 启 动 整 个 脚 本 。 R b c . x a r 是 任 务 调 度 模 块 ， 核 心 功 能 是 从 云 端 下 载 任 务 控 制 脚 本 并 加 载 运 行 。 R b c . x a r 解 包 后 目 录 树 如 下 ： R b c . x a r │ └ ─ l a y o u t │     o n l o a d . l u a │         └ ─ l u a c o d e                         k k p . c u r l . l u a                         r b c . b a s e . l u a                         r b c . e v e n t s o u r c e . l u a                         r b c . f i l t e r . l u a                         r b c . h e l p e r . l u a                         r b c . l u a                         r b c . s c h e d u l e r . l u a                         r b c . s e t t i n g . l u a                         r b c . t a s k . l u a                         r b c . v e r s i o n . l u a
o n l o a d . l u a 主 要 功 能 是 加 载 各 个 脚 本 ， 代 码 如 下 ：   [ o n L o a d . l u a 加 载 脚 本 ]   最 后 加 载 r b c . s c h e d u l e r . l u a 里 面 包 含 了 远 程 配 置 的 任 务 脚 本 u r l ： h t t p : / * * * . k a n k a n . c o m / r b c / t a s k s c h e d u l e _ v 1 . 2 . d a t   [ r b c . s c h e d u l e r . l u a 调 度 脚 本 ] 从 各 个 函 数 名 称 可 以 看 出 ， 该 脚 本 是 主 要 功 能 是 调 度 任 务 的 运 行 。 而 脚 本 t a s k s c h e d u l e _ v 1 . 2 . d a t 则 是 真 正 的 任 务 脚 本 。 t a s k s c h e d u l e _ v 1 . 2 . d a t 中 配 置 了 各 种 任 务 的 参 数 ， 其 中 挖 矿 任 务 的 参 数 配 置 块 如 下 ：
  [ 挖 矿 任 务 脚 本 的 参 数 配 置 块 ] 其 中 l i n k 就 是 该 任 务 模 块 的 下 载 地 址 ， 通 常 是 x a r 包 ； f r e q u e n c y 是 执 行 频 率 ； g o o g l e i d 和 c n z z i d 是 活 跃 统 计 标 识 。 c o n f i g u r l 是 脚 本 里 面 使 用 的 远 程 配 置 ， 主 要 是 挖 矿 D L L 模 块 的 下 载 地 址 和 M D 5 ， 具 体 内 容 请 看 下 文 。   任 务 模 块 下 载 后 保 存 在 % A P P _ D A T A % V i d e o L e g e n d R B C T a s k 目 录 下 ：   [ % A P P _ D A T A % V i d e o L e g e n d R B C T a s k 下 生 成 的 各 任 务 目 录 ] 整 理 所 有 任 务 U R L ， 如 下 ： h t t p : / /   * * * . k a n k a n . c o m / r b c / f i x r b c l a u n c h _ v 1 . 2 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / s t a r t i p _ v 3 . 2 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / u p k k p _ v 1 . 2 0 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / u p r b c _ v 1 . 1 1 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / u p r b c x a r _ v 1 . 1 . c a b
h t t p : / / * * * . k a n k a n . c o m / r b c / c h e c k i n t e g r i t y _ v 1 . 9 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / a r k k p _ v 5 . 2 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / a i k k p _ v 6 . 1 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / a r f i x _ v 1 . 0 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / d c _ f i x p l u g i n _ v 4 . 2 . l u a h t t p : / / * * * . k a n k a n . c o m / r b c / f i x p l u g i n _ v 1 2 . 0 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / f i x p l u g i n _ v 1 1 . 5 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / l a u n c h k k p _ v 1 0 . 1 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / l a u n c h k k p _ v 2 0 . 1 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / r b c t i p _ v 5 . 1 0 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / n e w s t i p _ v 2 . 2 1 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / r b c b i z _ v 3 . 3 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / r b c b i z l i t e _ v 1 . 3 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / b i z t a s k _ v 2 . 1 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / f i x p u s h e r _ v 1 . 3 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / d c _ t a s k _ v 5 . 3 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / p a r t n e r l i n k _ v 2 . 2 . c a b h t t p : / / * * * . k a n k a n . c o m / r b c / p a r t n e r d l l _ v 2 . 1 1 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / a r b r o w s e r l i n k _ v 2 . 9 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / d c _ a r b r o w s e r l i n k _ v 2 . 3 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / a r b r o w s e r l i n k q _ v 1 . 6 . x a r h t t p : / / * * * . k a n k a n . c o m / r b c / d c _ a r b r o w s e r l i n k q _ v 1 . 2 . x a r 其 中 h t t p : / / * * * . k a n k a n . c o m / r b c / p a r t n e r d l l _ v 2 . 1 1 . x a r 是 挖 矿 任 务 控 制 脚 本 ， m d 5 为 8 E F 1 9 4 8 C 5 E A 9 B 8 1 1 3 7 0 6 C B F F 1 E B B 8 C F 5 ； 解 包 后 只 有 一 个 脚 本 o n l o a d . l u a ， 主 要 功 能 是 根 据 配 置 参 数 c o n f i g u r l 下 载 d e p l o y 6 4 . d l l 到 % T E M P % 目 录 下 并 加 载 运 行 。 而 d e p l o y 6 4 . d l l 正 是 挖 矿 的 主 体 模 块 。 c o n f i g u r l 配 置 的 脚 本 内 容 如 下 ：
  [ 挖 矿 任 务 脚 本 配 置 的 D L L 下 载 地 址 ] 里 面 配 置 了 d e p l o y . d l l 的 3 个 下 载 地 址 c a b u r l 、 c a b u r l _ w i t h o u t 、 c a b u r l _ w i t h o u t w i t h d l l ， 其 中 c a b u r l 是 编 译 了 o p e n c l 的 ， c a b u r l _ w i t h o u t 是 没 有 编 译 o p e n c l 的 ， c a b u r l _ w i t h o u t w i t h d l l 是 没 有 编 译 o p e n c l 但 打 包 了 O p e n C l . d l l 的 。 但 脚 本 中 总 是 去 下 载 c a b u r l ， 最 后 调 用 r u n d l l 3 2 . e x e 加 载 D e p l o y 6 4 . d l l 运 行 ：   [ 脚 本 调 用 r u n d l l 3 2 . e x e 加 载 D e p l o y 6 4 . d l l ] 完 整 命 令 行 如 下 ： c : w i n d o w s s y s t e m 3 2 r u n d l l 3 2 . e x e “ % T E M P % D e p l o y 6 4 . d l l ”   , C o n t r o l _ R u n D L L   i n d e x _ c l a s s _ d = % d 其 中 参 数 i n d e x _ c l a s s _ d 在 t a s k s c h e d u l e _ v 1 . 2 . d a t 中 的 任 务 参 数 配 置 块 中 指 定 。 D e p l o y 6 4 . d l l 加 载 起 来 后 就 开 始 执 行 真 正 的 挖 矿 代 码 了 ， 是 导 致 G P U 使 用 率 大 增 、 电 脑 过 热 、 C 盘 可 用 空 间 变 小 的 真 正 元 凶 。 D e p l o y 6 4 . d l l 分 析 分 析 D e p l o y 6 4 . d l l 加 载 后 会 创 建 2 个 线 程 ： C S a f e R T : : M o n i t o r T h r e a d 和 E t h T h r e a d 。 其 中 C S a f e R T : : M o n i t o r T h r e a d 是 监 控 线 程 ， 而 E t h T h r e a d 是 挖 矿 线 程 。 C S a f e R T : : M o n i t o r T h r e a d 该 线 程 会 创 建 一 个 窗 口 ， 窗 口 类 名 为 _ _ d e p l o y _ C S a f e R T I m p l ， 窗 口 名 称 为 _ _ d e p l o y _ C S a f e R T I m p l _ i _ 1 _ 5 ， 然 后 在 窗 口 过 程 函 数 中 检 测 调 试 器 和 枚 举 窗 口 ， 如 果 检 测 到 被 调 试 或 有 检 测 工 具 窗 口 存 在 则 退 出 。
  [ 检 测 到 正 在 被 调 试 则 退 出 ]   [ 检 测 到 以 上 窗 口 标 题 则 退 出 ] E t h T h r e a d E t h r e a d 是 执 行 挖 矿 的 主 体 线 程 ， 首 先 下 载 挖 矿 配 置 文 件 h t t p : / / * * * . k a n k a n . c o m / d e p l o y / d t a s k % d _ . i n i ， 其 中 % d 由 传 入 参 数 i n d e x _ c l a s s _ d 指 定 ， 目 前 0 - 7 有 效 。 该 配 置 文 件 内 容 如 下 ：   [ 挖 矿 配 置 文 件 ] 读 取 配 置 字 段 后 使 用 A E S 1 2 8 算 法 解 密 ， 得 到
p   =   “ h t t p : / / e t h - a s i a 1 . n a n o p o o l . o r g : 8 8 8 8 ” ； u s   =   “ 0 x 7 0 1 6 d f 7 C 2 d 2 A c F 0 D A c 2 1 8 A 4 1 0 e 6 1 0 0 2 A 6 6 8 3 7 1 5 1 ; 0 x E a A B A F 0 3 8 4 E E 7 3 b c a 4 3 c 2 A 6 9 8 e 2 4 0 d 6 4 d e 0 9 0 8 1 b ; 0 x 0 a f 8 5 6 f b E d 6 e 9 3 A 0 1 b 3 c 4 5 5 7 D 6 4 e d c 9 9 C 5 a 5 d 4 6 B ; 0 x 6 6 9 F 5 8 8 F 1 0 3 7 6 4 f 9 8 b 9 4 c e B F B 6 f B 9 3 b b d 5 d F 2 C F c ; 0 x e d C 1 4 8 7 5 9 d F d F f A 3 E E f F 0 1 E a 6 4 B 2 a B f 2 0 6 4 2 7 9 9 f ; 0 x f E 7 c 7 9 3 e D 4 F 1 6 B 6 d 0 5 e C 7 6 3 D 9 8 3 8 9 5 9 0 b 0 c 8 1 2 E 1 ; 0 x c 5 5 6 d 1 4 2 4 7 A 5 9 d 1 E 0 8 8 6 b B 2 1 b 4 f A e 1 4 8 1 C 7 4 4 1 9 1 ; 0 x b 1 d 4 2 9 6 5 F 5 3 9 e A F 6 8 8 9 3 8 A 1 6 b e 4 7 5 5 8 0 5 3 D 5 7 A 5 2 ; 0 x 6 5 6 3 b 8 A 0 a 6 2 3 8 e d c 8 c 3 b B D 7 E 2 3 A B 6 1 7 4 D E D 9 2 1 6 5 ; 0 x 9 C 3 d c 3 B c 8 9 a 0 f 1 6 B 1 C B c 2 b A 8 b 3 5 4 2 7 d 2 8 6 F 7 8 3 e c ; 0 x F f B 6 f a E F 0 1 A 4 1 3 3 0 4 2 5 a e 1 7 9 5 6 0 1 f 6 D 3 F 7 c 1 d 7 6 2 ”     [ 解 密 得 到 的 挖 矿 参 数 ]   然 后 拼 接 得 到   h t t p : / / e t h - a s i a 1 . n a n o p o o l . o r g : 8 8 8 8 / 0 x F f B 6 f a E F 0 1 A 4 1 3 3 0 4 2 5 a e 1 7 9 5 6 0 1 f 6 D 3 F 7 c 1 d 7 6 2 。
  [ 启 动 挖 矿 参 数 ] 传 的 参 数 给 自 身 进 程 ， 开 始 挖 矿 。 其 中 参 数 - G 指 定 使 用 G P U 挖 矿 ， 参 数 - F 指 定 矿 场 u r l 。 挖 矿 开 始 后 会 在 用 户 目 录 下 生 成 E t h a s h 目 录 ， 其 中 的 挖 矿 数 据 文 件 格 式 如 下 ， 单 个 文 件 大 小 超 过 1 . 5 G B 。 同 时 造 成 用 户 电 脑 G P U 占 用 率 飙 升 ， 电 脑 发 热 增 大 等 现 象 。   [ D e p l o y 6 4 . d l l 生 成 的 挖 矿 文 件 ] 以 上 就 是 看 看 影 音 利 用 用 户 电 脑 运 算 资 源 进 行 挖 矿 的 整 个 过 程 分 析 。 由 于 看 看 影 音 本 身 属 于 正 常 软 件 ， 通 常 被 各 安 全 软 件 直 接 信 任 ， 从 而 导 致 这 种 恶 意 行 为 难 以 被 发 现 。 目 前 毒 霸 可 以 查 杀 该 恶 意 行 为 。   [ 毒 霸 拦 截 查 杀 挖 矿 病 毒 ]
  [ 毒 霸 清 理 挖 矿 数 据 文 件 ]   *   本 文 作 者 ： 渔 村 安 全 （ 企 业 帐 号 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理