搜索

[11691] 2017-08-21_远控木马上演白利用偷天神技：揭秘假破解工具背后的盗刷暗流

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2017-08-21_远控木马上演白利用偷天神技：揭秘假破解工具背后的盗刷暗流 远 控 木 马 上 演 白 利 用 偷 天 神 技 ： 揭 秘 假 破 解 工 具 背 后 的 盗 刷 暗 流 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 8 - 2 1 如 今 ， 不 少 人 为 了 省 钱 ， 会 尝 试 各 种 免 费 的 方 法 获 取 网 盘 或 视 频 播 放 器 的 会 员 权 限 ， 网 上 也 流 传 着 不 少 如 今 ， 不 少 人 为 了 省 钱 ， 会 尝 试 各 种 免 费 的 方 法 获 取 网 盘 或 视 频 播 放 器 的 会 员 权 限 ， 网 上 也 流 传 着 不 少 “ 网 盘 不 网 盘 不 限 速 神 器 限 速 神 器 ” 或 者 或 者 “ 播 放 器 播 放 器 V I P 破 解 工 具 破 解 工 具 ” 。 不 过 ， 这 些 。 不 过 ， 这 些 “ 神 器 神 器 ” 既 不 靠 谱 更 不 安 全 ， 因 为 它 们 已 经 被 木 马 盯 上 了 。 既 不 靠 谱 更 不 安 全 ， 因 为 它 们 已 经 被 木 马 盯 上 了 。 近 日 ， 3 6 0 安 全 中 心 监 测 到 一 批 伪 装 成 “ 迅 雷 9 . 1 尊 贵 破 解 版 ” 、 “ 百 度 网 盘 不 限 速 ” 工 具 的 远 控 木 马 正 大 肆 传 播 。 为 了 掩 人 耳 目 ， 木 马 不 仅 会 添 加 桌 面 的 快 捷 方 式 图 标 、 软 件 安 装 的 注 册 表 信 息 ， 还 足 足 利 用 了 三 层 白 利 用 才 完 成 安 装 。 最 为 精 妙 的 是 ， 其 中 一 层 白 利 用 中 ， 木 马 利 用 了 B l u e S o l e i l （ 一 款 蓝 牙 软 件 ） 的 安 装 程 序 ， 直 接 修 改 配 置 文 件 （ s e t u p . i n i ） 便 实 现 了 对 白 程 序 的 劫 持 ， 让 正 规 软 件 的 安 装 程 序 转 眼 变 成 木 马 安 装 的 温 床 。 远 控 木 马 入 侵 后 ， 会 趁 中 招 者 不 注 意 安 装 T e a m v i e w e r 等 远 程 工 具 ， 进 一 步 伺 机 窃 取 中 招 者 的 网 银 及 游 戏 账 号 ， 实 现 转 账 盗 刷 及 窃 取 游 戏 装 备 等 操 作 。 据 3 6 0 监 测 全 网 数 据 显 示 ， 该 木 马 自 7 月 1 1 日 集 中 爆 发 以 来 一 直 阴 魂 不 散 ， 更 出 现 过 多 次 小 规 模 反 弹 ， 未 来 不 排 除 利 欲 熏 心 的 不 法 分 子 持 续 作 案 的 可 能 。 下 面 以 “ 迅 雷 9 . 1 尊 贵 破 解 版 ” 为 例 进 行 简 要 分 析 ： 图 1 文 件 相 关 性 如 下 图 所 示 ：
图 2 安 装 过 程 ： 安 装 过 程 ： 绿 化 . e x e : 将 P r o g r a m 目 录 下 的 X L G r a p h i c P l u . D L L 改 名 为 X L G r a p h i c P l u . e x e 并 执 行 ： 通 过 比 对 迅 雷 官 方 文 件 发 现 官 网 包 里 并 没 这 个 文 件 。 X L G r a p h i c P l u . e x e 在 桌 面 创 建 迅 雷 快 捷 方 式 图 标 并 添 加 迅 雷 安 装 相 关 注 册 表 信 息 以 此 掩 人 耳 目 ， 同 时 还 执 行 了 S D K 目 录 下 的 A s s i s t a n t T o o l s . c m d 。
而 有 意 思 的 是 A s s i s t a n t T o o l s . c m d 实 际 是 蓝 牙 软 件 B l u e S o l e i l 的 安 装 程 序 ， 它 会 通 过 s e t u p . i n i 的 配 置 ， 安 装 软 件 。 这 个 程 序 被 木 马 利 用 ， 成 为 了 木 马 的 安 装 器 。 s e t u p . i n i 中 的 内 容 ： S e t u p . i n i 中 ， 执 行 的 l o b a b y . p i f 实 际 是 N i r C m d ， 它 是 一 套 功 能 齐 全 的 命 令 行 工 具 ， 被 攻 击 者 用 来 执 行 木 马 安 装 ， 而 执 行 的 指 令 存 储 在 2 3 4 5 P i c t u r e . l o g 中 。 2 3 4 5 P i c t u r e . l o g 中 内 容 为 一 段 批 处 理 ： h e a d + t a l e 为 完 整 的 木 马 P E
Q M D L . e x e 文 件 是 一 个 被 木 马 利 用 的 正 常 程 序 ， 会 主 动 去 加 载 同 目 录 下 的 Q M C o m m o n . d l l 文 件 。 而 该 d l l 文 件 实 际 是 一 个 含 有 恶 意 代 码 的 木 马 程 序 。 图 1 0 Q M c o m m o n . d l l   利 用 z c . i n f 文 件 写 启 动 项 ： 会 将 一 段 类 似 安 装 驱 动 的 i n f （ 主 要 用 于 添 加 Q M D L . e x e 到 启 动 项 ） 写 入 到 c : w i n d o w s T e m p z c . i n f 里 ， 并 将 r u n d l l 3 2 . e x e 改
名 为 z c . e x e , 同 时 创 建 z c . l n k 指 向 ： 创 建 z c . i n f : 写 入 Z c . i n f 文 件 中 的 内 容 如 下 ： Q M c o m m o n . d l l ： 还 会 加 载 解 密 g i f . t x t 内 存 执 行 到 此 为 止 ， 木 马 完 成 了 安 装 。 危 害 ： 危 害 ： 加 载 解 密 g i f . t x t 内 存 执 行 之 后 是 一 个 远 程 控 制 程 序 ， 其 C C 服 务 器 为 ： h a y d e n . v a n c l e e f a r p e l s p r o . c o m 测 试 时 连 接 到 的 是 一 个 广 东 佛 山 顺 德 区 的 一 个 A D S L   I P ： 2 1 9 . 1 2 8 . 7 9 . 3 6 我 们 回 头 再 看 安 装 的 所 谓 迅 雷 尊 贵 破 解 版 ， 并 没 有 实 现 什 么 功 能 上 的 破 解 ， 使 用 会 员 功 能 仍 然 需 要 充 值 。 ! [ 揭 秘 假 破 解 工 具 背 后 的 盗 刷 暗 流 ] ( h t t p : / / i m a g e . 3 0 0 1 . n e t / i m a g e s / 2 0 1 7 0 8 1 7 / 1 5 0 2 9 6 4 3 4 1 8 9 2 6 . p n g ! s m a l l )
顺 便 还 看 到 了 被 打 包 迅 雷 之 前 的 下 载 列 表 ， 满 满 的 加 壳 工 具 ！ 回 到 这 款 远 控 ， 黑 客 在 用 户 离 开 机 器 时 ， 远 程 安 装 T e a m v i e w e r 等 远 程 工 具 ， 并 在 受 害 人 完 全 不 知 情 的 情 况 下 通 过 记 住 密 码 的 旺 旺 登 录 淘 宝 、 支 付 宝 ， 进 行 购 买 礼 品 卡 或 转 帐 等 操 作 。
根 据 3 6 0 的 观 察 ， 该 木 马 从 7 月 1 1 日 开 始 集 中 爆 发 ， 在 7 月 1 4 日 达 到 3 5 0 0 次 的 传 播 量 。 后 在 8 月 初 的 时 候 又 出 现 了 一 波 小 的 反 弹 ， 之 后 的 传 播 则 逐 渐 下 降 。 与 之 对 应 的 域 名 访 问 趋 势 也 是 类 似 ： 3 6 0 安 全 卫 士 早 已 防 御 查 杀 该 远 控 木 马 ， 在 此 建 议 广 大 网 民 ， 想 获 取 V I P 权 限 ， 还 是 通 过 正 规 渠 道 进 行 办 理 。 如 果 想 使 用 破 解 工 具 ， 也 一 定 要 在 安 全 软 件 的 保 护 下 运 行 ， 一 旦 安 全 软 件 进 行 风 险 预 警 ， 切 勿 抱 有 侥 幸 心 理 继 续 安 装 运 行 。 * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 安 全 卫 士 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理