搜索

[11263] 2017-04-21_借鸡生蛋：DNF恶意外挂登陆器分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-04-21_借鸡生蛋：DNF恶意外挂登陆器分析 借 鸡 生 蛋 ： D N F 恶 意 外 挂 登 陆 器 分 析 吃 荤 的 驴 子   F r e e B u f   2 0 1 7 - 0 4 - 2 1 * 本 文 作 者 ： 吃 荤 的 驴 子 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 有 江 湖 的 地 方 就 有 纷 争 ， 同 样 有 游 戏 的 地 方 也 就 有 外 挂 。 对 于 D N F （ 地 下 城 与 勇 士 ） 这 款 在 国 内 运 营 了 接 近 1 0 年 的 老 牌 端 游 ， 大 家 一 定 不 会 感 到 陌 生 。 由 于 运 营 时 间 长 ， 受 众 广 ， D N F 相 关 的 外 挂 私 服 也 比 比 皆 是 。 为 了 能 够 在 众 多 的 外 挂 私 服 中 ， 获 得 广 大 的 用 户 群 ， 从 而 获 得 利 益 ， 有 些 恶 意 软 件 作 者 ， 就 将 目 标 瞄 准 到 外 挂 私 服 上 ， 下 面 就 来 详 细 介 绍 这 类 “ 借 鸡 生 蛋 ” 的 恶 意 软 件 。 1 、 恶 意 软 件 信 息 、 恶 意 软 件 信 息 该 恶 意 软 件 通 过 二 次 打 包 其 他 第 三 方 外 挂 登 录 器 ， 并 携 带 自 身 恶 意 模 块 ， 生 成 图 标 同 原 外 挂 登 陆 器 一 致 的 恶 意 程 序 。 当 该 恶 意 软 件 运 行 的 时 候 ， 会 释 放 并 启 动 一 个 名 为 “ R e a l i t y . l o g ” 的 程 序 ， 其 实 这 个 文 件 才 是 真 正 的 外 挂 登 陆 器 ， 同 时 也 会 释 放 运 行 恶 意 模 块 ， 运 行 效 果 如 下 图 所 示 。 通 过 这 种 借 鸡 生 蛋 的 方 式 ， 恶 意 软 件 作 者 不 需 要 自 己 去 开 发 维 护 外 挂 登 陆 器 ， 直 接 借 用 第 三 方 程 序 的 用 户 来 发 展 自 己 的 肉 鸡 获 取 利 益 。 该 类 恶 意 程 序 最 早 出 现 在 2 0 1 5 年 1 0 月 ， 至 今 共 发 现 其 相 关 的 恶 意 打 包 程 序 约 1 6 0 个 ， 期 间 该 类 恶 意 程 序 一 直 持 续 更 新 ， 均 伪 装 成 D N F 外 挂 登 陆 器 ， 包 括 但 不 限 于 将 夜 D N F 辅 助 ， 火 云 辅 助 ， 创 界 辅 助 ， 风 华 辅 助 ， 天 堂 辅 助 ， 契 约 辅 助 ， 盘 龙 登 陆 器 ， 咸 鱼 D O F 登 录 器 ， 魔 剑 D N F 登 录 器 ， 小 狐 狸 登 录 器 ， 小 三 D N F 登 陆 器 ， 娱 乐 D N F 登 录 器 ， 昊 天 登 陆 器 等 。 其 主 要 功 能 演 变 如 下 图 所 示 。
2 、 背 景 信 息 、 背 景 信 息 该 类 恶 意 软 件 主 要 是 通 过 恶 意 引 流 推 广 和 D D O S 攻 击 来 获 得 利 益 。 通 过 技 术 手 段 恶 意 锁 定 用 户 的 浏 览 器 主 页 为 自 己 的 导 航 推 广 ， 当 “ 肉 鸡 ” 积 累 到 一 定 程 度 的 时 候 ， 每 天 都 会 产 生 比 较 可 观 的 利 益 。 同 时 通 过 篡 改 h o s t s 文 件 ， 劫 持 竞 争 对 手 的 私 服 网 址 ， 引 流 到 自 己 的 网 站 ， 将 竞 争 对 手 的 用 户 转 化 为 自 己 的 用 户 。 在 外 挂 私 服 这 种 不 受 法 律 的 黑 色 灰 色 产 业 中 ， D D O S 是 很 常 见 的 。 从 业 者 经 常 利 用 “ 肉 鸡 ” 对 竞 争 对 手 进 行 D D O S 攻 击 ， 使 竞 争 对 手 的 服 务 器 不 能 正 常 工 作 。 对 于 游 戏 提 供 商 来 说 ， 这 几 乎 是 致 命 的 ， 一 旦 服 务 器 遭 受 攻 击 宕 机 ， 很 容 易 就 会 导 致 用 户 的 大 量 流 失 。 甚 至 有 专 门 的 网 络 敲 诈 者 进 行 “ 黑 吃 黑 ” ， 通 过 恶 意 攻 击 私 服 服 务 器 ， 敲 诈 私 服 从 业 者 提 供 高 额 的 “ 保 护 费 ” 。 3 、 基 本 流 程 、 基 本 流 程 下 面 以 这 款 名 为 “ 盘 龙 登 陆 器 ” 为 例 ， 分 析 该 恶 意 软 件 的 基 本 流 程 ， 如 下 图 所 示 。 该 私 服 登 陆 器 运 行 之 后 ， 在 释 放 运 行 真 正 的 登 陆 器 R e a l i t y . l o g 的 同 时 ， 会 释 放 I n t e l 类 模 块 和 W i n n e t 类 模 块 ， I n t e l 类 模 块 主 要 负 责 主 页 锁 定 ， 反 调 试 检 测 以 及 下 载 D D O S 模 块 ， W i n n e t 类 模 块 主 要 负 责 L S P 代 理 劫 持 ， 用 于 劫 持 R e a l i t y . l o g 以 及 R e a l i t y . l o g 的 子 进 程 的 网 络 。
4 、 详 细 分 析 、 详 细 分 析 该 类 恶 意 外 挂 登 陆 器 主 要 分 为 三 个 恶 意 模 块 ， 分 别 是 I n t e l 类 主 页 锁 定 模 块 ， P a c k x x 类 D D O S 模 块 以 及 W i n n e t 类 的 L S P 代 理 模 块 。 下 面 分 别 介 绍 各 个 模 块 的 具 体 功 能 行 为 。 4 . 1 I n t e l 类 主 页 锁 定 模 块 类 主 页 锁 定 模 块 I n t e l 类 模 块 主 要 分 为 应 用 层 I n t e l . e x e 以 及 驱 动 层 I n t e l . s y s 两 部 分 ， 其 中 驱 动 部 分 功 能 的 正 常 运 行 需 要 应 用 层 初 始 化 数 据 来 进 行 配 合 ， 如 果 单 独 运 行 驱 动 ， 将 直 接 导 致 蓝 屏 ， 这 也 在 一 定 程 度 上 增 加 了 分 析 的 难 度 ， 值 得 一 说 的 是 ， 该 恶 意 程 序 驱 动 层 与 应 用 层 的 通 行 采 用 的 并 非 是 常 见 的 D e v i c e I o C o n t r o l 模 型 ， 而 是 采 用 的 M i n i F i l t e r 的 通 信 方 式 。 下 面 详 细 介 绍 它 的 主 要 功 能 。 4 . 1 . 1   浏 览 器 主 页 锁 定 浏 览 器 主 页 锁 定 主 页 的 锁 定 是 需 要 应 用 层 和 驱 动 层 共 同 协 作 ， 这 里 采 用 了 一 种 比 较 常 见 的 “ 偷 梁 换 柱 ” 的 方 式 。 驱 动 层 通 过 进 程 创 建 回 调 函 数 ， 得 知 如 果 启 动 的 进 程 是 浏 览 器 进 程 ， 则 会 结 束 该 进 程 ， 同 时 将 浏 览 器 启 动 的 信 息 通 过 写 文 件 的 方 式 通 知 应 用 层 ， 应 用 层 获 得 浏 览 器 的 启 动 信 息 后 ， 将 需 要 锁 定 的 主 页 以 参 数 的 方 式 跟 在 浏 览 器 路 径 后 面 ， 然 后 打 开 该 浏 览 器 进 程 ， 正 是 通 过 这 种 方 式 来 达 到 对 浏 览 器 主 页 的 锁 定 。 其 相 关 实 现 如 下 图 所 示 。
4 . 1 . 2   D o w n l o a d e r 功 能 功 能
应 用 层 运 行 之 后 会 开 启 一 个 线 程 ， 从 网 络 上 下 载 并 运 行 P a c k x x 类 的 D D O S 模 块 。 4 . 1 . 3 反 调 试 保 护 模 块 反 调 试 保 护 模 块 该 恶 意 软 件 的 反 调 试 保 护 功 能 主 要 是 在 驱 动 层 实 现 ， 主 要 包 括 以 下 几 个 方 面 。   A ） 通 过 M i n i F i l t e r 保 护 自 身 相 关 模 块 ， 禁 止 其 他 程 序 访 问 。 B ）   通 过 M i n i F i l t e r 检 测 调 试 工 具 ， 包 括 O l l y D b g ， P c h u n t e r ， 3 6 0 t c p v i e w ， n e t s t a t 等 调 试 工 具 ， 一 旦 驱 动 成 功 运 行 ， 这 些 工 具 都 不 能 获 得 正 常 的 运 行 。
C ） 通 过 注 册 表 回 调 例 程 保 护 相 关 注 册 表 项 ， 禁 止 其 他 程 序 访 问 。 D ） 通 过 对 象 注 册 回 调 函 数 保 护 自 身 进 程 不 被 结 束 。
4 . 2   P a c k x x 类 类 D D O S 模 块 模 块 I n t e l . e x e 从 域 名 w w w . d r e s o u . n e t 上 下 载 的 3 个 恶 意 模 块 ， 分 别 是 P a c k 1 1 . e x e ， P a c k 2 2 . e x e 以 及 P a c k 3 3 . e x e ， 其 中 P a c k 1 1 . e x e 和 P a c k 2 2 . e x e 均 为 D D O S 模 块 ， 除 了 控 制 主 机 的 域 名 不 一 样 ， 其 他 功 能 一 致 ， P a c k 3 3 . e x e 为 H o s t s 文 件 劫 持 模 块 ， 其 具 体 功 能 如 下 。 4 . 2 . 1   伪 造 系 统 进 程 伪 造 系 统 进 程 伪 造 自 身 为 s v c h o s t 或 则   d w m 等 服 务 进 程 ， 同 时 释 放 恶 意 模 块 伪 装 成 s p o o l s v ， w d m 进 程 ， 确 保 D D O S 模 块 能 够 获 得 执 行 。 4 . 2 . 2   通 过 云 端 控 制 通 过 云 端 控 制 D D O S 操 作 操 作 连 接 远 程 控 制 主 机 ( d d . d r e s o u . n e t ， C C . 3 4 5 D N F . C O M ) ， 获 取 D D O S 控 制 命 令 ， 执 行 相 关 的 D D O S 操 作 。
4 . 2 . 3 劫 持 劫 持 h o s t s 文 件 文 件 篡 改 h o s t s 文 件 ， 劫 持 其 他 D N S 私 服 的 域 名 ， 使 其 访 问 自 身 的 恶 意 网 址 。
4 . 3   W i n n e t 类 的 类 的 L S P 代 理 模 块 代 理 模 块 W i n n e t 类 代 理 模 块 主 要 包 括 W i n n e t . e x e ， W i n n e t . d l l 以 及 L S P . d l l 三 部 分 ， 其 中 W i n n e t . e x e 是 代 理 服 务 器 的 主 进 程 ， 主 要 负 责 中 转 网 络 数 据 ， W i n n e t . d l l 主 要 是 负 责 安 装 L S P 服 务 以 及 初 始 化 进 程 间 通 行 的 共 享 内 存 ， 常 驻 在 W i n n e t . e x e 进 程 中 ， L S P . d l l 是 网 络 劫 持 模 块 ， 被 目 标 进 程 加 载 ， 劫 持 网 络 到 W i n n e t . e x e 进 程 中 。 下 面 详 细 介 绍 4 . 3 . 1   安 装 安 装 L S P 服 务 服 务 恶 意 程 序 将 需 要 劫 持 的 进 程 的 P i d 通 过 命 令 行 的 方 式 传 递 给 W i n n e t . e x e ， W i n n e t . e x e 加 载 W i n n e t . d l l ， 并 调 用 其 I n i t I n s t a l l L s p 函 数 进 行 L S P 服 务 的 安 装 。
4 . 3 . 2   启 动 端 口 监 听 启 动 端 口 监 听 随 机 监 听 本 地 的 一 个 端 口 ， 并 创 建 一 块 进 程 间 共 享 内 存 ， 将 监 听 端 口 存 放 在 其 中 。 4 . 3 . 3   存 放 代 理 服 务 器 信 息 存 放 代 理 服 务 器 信 息
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理