搜索

[12230] 2018-01-12_病毒分析一只“蜗牛”偷梁换柱，靠锁主页进行牟利

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-12_病毒分析一只“蜗牛”偷梁换柱，靠锁主页进行牟利 病 毒 分 析   |   一 只 “ 蜗 牛 ” 偷 梁 换 柱 ， 靠 锁 主 页 进 行 牟 利 渔 村 安 全   F r e e B u f   2 0 1 8 - 0 1 - 1 2 一 、 概 述 一 、 概 述 众 所 周 知 ， 导 航 推 广 、 淘 宝 客 劫 持 可 以 给 渠 道 商 带 来 巨 大 的 利 益 ， 使 得 木 马 病 毒 制 造 者 纷 纷 变 成 推 广 渠 道 商 。 一 些 聪 明 的 病 毒 制 造 者 利 用 锁 页 生 成 器 ， 以 “ 造 福 ” 推 广 技 术 人 员 为 由 ， 让 其 助 力 进 行 木 马 传 播 。 在 这 期 间 ， 病 毒 制 造 者 再 进 行 偷 梁 换 柱 ， 通 过 云 配 替 换 成 自 己 的 推 广 链 接 ， 并 对 国 美 ， 京 东 ， 苏 宁 ， 淘 宝 等 电 商 进 行 劫 持 。 据 统 计 ， 截 至 到 目 前 共 有 4 3 8 3 9 7 位 网 民 中 招 。 图 1 ： 蜗 牛 锁 页 Q Q   群 二 、 样 本 分 析 二 、 样 本 分 析 1 . 母 体 分 析 母 体 分 析 蜗 牛 主 页 是 一 套 很 全 的 主 页 锁 定 木 马 ， 模 块 和 功 能 也 比 较 多 ， 整 体 的 模 块 和 功 能 说 明 如 下 ：
图 2 ： 蜗 牛 锁 页 框 架 图 3 ： 蜗 牛 锁 页 生 成 器 木 马 制 作 者 会 向 推 广 人 员 提 供 一 个 生 成 器 （ 如 上 图 ） ， 当 推 广 人 员 填 写 完 推 广 i d 和 锁 定 的 链 接 并 点 击 ” 生 成 静 默 包 ” 后 会 在 当 前 目 录 下 生 成 名 叫 L o c k P a g e . e x e 的 文 件 ， 该 文 件 就 是 用 于 传 播 的 母 体 ， 其 主 要 负 责 工 作 如 下 ： a . 解 密 释 放 配 置 文 件 s s s . d a t ， 该 文 件 用 于 保 存 “ 插 件 模 块 ” 的 存 放 目 录 信 息 ， 创 建 c o m 组 件 注 册 表 的 路 径 等 信 息 。 图 4 ： 蜗 牛 锁 页 s s s . d a t 配 置 b . 解 密 释 放 文 件 c o n f i g . d a t 到 % t e m p % 和 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m   目 录 下 ， 该 文 件 保 存 导 航 主 页 的 配 置 信 息 。 图 5 ： 蜗 牛 锁 页 主 页 配 置 文 件
c . 根 据 系 统 版 本 数 位 不 同 ， 释 放 s a f e 3 2 . d a t 或 者 s a f e 6 4 . d a t 命 名 为 s a f e . z i p ， 并 将 文 件 生 成 到 ” % t e m p % ” 和 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m 目 录 下 ， s a f e 3 2 . d a t   和 s a f e 6 4 . d a t 是 主 页 劫 持 的 核 心 模 块 。 图 6 ： 释 放 s a f e 3 2 . z i p 和   s a f e 6 4 . z i p d .   木 马 通 过 该 创 建 C O M 组 件 接 口 的 方 式 将 s a f e m o n n . d l l 进 行 注 入 e x p l o r e r 中 图 7 ： 添 加 c o m 组 件 e . 根 据 不 同 版 本 位 数 的 系 统 解 密 释 放 s a f e m o n n 3 2 . d l l 或 者 s a f e m o n n 6 4 . d l l 文 件 到 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m 目 录 下 。 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r S h e l l I c o n O v e r l a y I d e n t i f i e r s 0 O v e r l a y I c o n H K E Y _ C L A S S E S _ R O O T C L S I D { 8 D 6 E 9 E 7 B - 5 7 C 4 - 4 0 8 0 - A A A E - 5 D C 0 3 C 4 5 B 9 D 7 } I n P r o c S e r v e r 3 2
图 8 ： 释 放 s a f e m o n n 3 2 . d l l 或 s a f e m o n n 6 4 . d l l f . 做 完 以 上 操 作 后 ， 木 马 会 重 启 E x p l o r e r 进 程 ， 并 自 删 除 。 这 时 s a f e m o n n . d l l 将 被 e x p l o r e r 自 动 加 载 启 动 。 图 9 ： 重 启 E x p l o r e r 2 . s a f e m o n n 分 析 分 析 S a f e m o n n 它 的 在 整 个 模 块 中 扮 演 的 l o a d e r 的 ” 角 色 ” ， 负 责 加 载 s a f e 3 2 . d a t 或 者 s a f e 6 4 . d a t 和 卸 载 自 身 。 首 先 s a f e m o n n 会 判 断 当 前 模 块 名 是 否 为 空 ， 如 果 不 是 就 在 当 前 进 程 开 辟 一 段 内 存 空 间 并 将 自 己 拷 贝 到 该 内 存 中 ， 然 后 进 行 P E 文 件 重 定 位 修 复 等 工 作 ， 最 后 调 用 自 身 D L L M A I N 。
图 1 0 ： 内 存 加 载 自 身 自 身 D L L M A I N 被 调 用 后 ， 接 下 来 木 马 会 尝 试 对 L d r L o a d D l l 函 数 进 行   i n l i n e   H o o k ， 如 果 L d r L o a d D l l 函 数 地 址 获 取 不 成 功 ， 则 获 取 L o a d L i b r a r y W 函 数 的 地 址 进 行 i n l i n e   H o o k ， 作 者 的 目 的 是 为 了 让 自 己 运 行 在 当 前 进 程 内 存 中 ， 并 卸 载 当 前 进 程 的 自 身 模 块 ， 不 让 分 析 人 员 发 现 有 可 疑 D L L 的 存 在 。 图 1 1 ： H o o k L d r L o a d D l l
图 1 2 : 卸 载 模 块 做 完 以 上 的 步 骤 后 ， 接 下 来 创 建 一 个 隐 藏 的 D i a l o g ， 当 D i a l o g 被 初 始 化 时 （ M S G =   W M _ I N I T D I A L O G ） 将 会 启 动 一 个 线 程 ， 该 线 程 主 要 完 成 对 C : P r o g r a m   F i l e s C o m m o n   F i l e s S y s t e m 目 录 下 的 s a f e 3 2 . d a t 或 者 s a f e 6 4 . d a t 文 件 进 行 解 密 并 内 存 加 载 (   p s : 如 果 s a f e 3 2 . d a t 或 者 s a f e 6 4 . d a t 不 存 在 ， 那 么 将 会 从 服 务 器 上 下 载 进 行 解 密 加 载   ) 图 1 3 : 加 载 s a f e 3 2 . d a t 或 者 s a f e 6 4 . d a t 3 . s a f e 3 2 . d a t 分 析 分 析 S a f e 3 2 . d a t 它 被 保 存 在 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m 目 录 下 并 以 s a f e . d a t 命 名 ， 该 样 本 在 整 个 模 块 中 负 责 主 页 劫 持 模 s a f e 3 2 . d l l (   p s ： 与 s a f e 3 2 . d a t 同 名 而 已 ) ， n l i n e   h o o k   C r e a t e P r o c e s s W ， 配 置 环 境 检 测 还 原 ， 信 息 上 报 ， 主 页 配 置 文 件 的 更 新 等 。
图 1 4   资 源 a 、 从 资 源 中 读 取 s a f e 3 2 . d l l ， 进 行 异 或 0 x A 加 密 后 保 存 在 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m a d o   h e h e . d a t 做 一 次 备 份 ， 然 后 创 建 s o r t . e x e 进 程 做 为 傀 儡 进 程 ， 通 过 枚 举 s a f e 3 2 . d l l 导 出 表 找 到 导 出 函 数 L o a d p e 地 址 ， 传 递 s a f e 3 2 . d l l ( 自 身 ) 做 为 参 数 ， 以 远 程 线 程 的 方 式 注 入 到 傀 儡 进 程 s o r t . e x e 中 。 图 1 5 : 傀 儡 进 程 b 、   从 资 源 中 释 放 r e l o a d . s y s ， 进 行 异 或 0 x A 加 密 后 保 存 在 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m a d o u i p r o t e c t . d a t 做 一 次 备 份 ， 然 后 检 测 r e l o a d . s y s 驱 动 是 否 已 经 被 加 载 ， 如 果 没 有 加 载 ， 则 进 行 驱 动 的 加 载 。 并 生 成 一 份 未 加 密 的 在 C : P r o g r a m F i l e s C o m m o n   F i l e s S y s t e m u i p r o t e c t . s y s ， 最 后 加 载 驱 动 。 图 1 6 ： 木 马 驱 动 注 册 表 C 、 作 者 为 了 起 到 双 保 险 效 果 ， 对 C r e a t e P r o c e s s W 函 数 进 行 i n l i n e h o o k   ， 在 浏 览 器 启 动 后 ， 在 浏 览 器 后 面 添 加 参 数 ， 达 到 劫 持 的 主 页 的 效 果 。 图 1 7 ： H o o k   C r e a t e P r o c e s s W 劫 持 的 浏 览 器 例 表 如 下 ：
图 1 8 : 被 劫 持 的 浏 览 器 木 马 还 会 对 桌 面 上 的 浏 览 器 快 捷 方 式 做 劫 持 。 图 1 9 : 浏 览 器 快 捷 方 式 被 劫 持 d 、 木 马 会 检 测 自 己 的 配 置 文 件 是 否 已 经 被 删 除 ， 如 果 文 件 不 存 在 。 则 发 控 制 码 0 x 2 2 2 0 2 4 给 驱 动 ， 准 备 还 原 配 置 文 件 。
图 2 0 : 恢 复 配 置 文 件 e 、   访 问 h t t p : / / w w w . w o n i u l o c k . c o m / t a o b a o k e . p h p ? d o m a i n = h t t p : / / w w w . w o n i u l o c k . c o m / 获 取 淘 宝 客 配 置 文 件 , 并 发 送 控 制 码 0 x 2 2 2 0 1 8 把 内 容 交 给 驱 动 。 图 2 1 ： 淘 宝 客 内 容 f 、   统 计 用 户 电 脑 信 息 以 h t t p 方 式 向 服 务 端 发 送 格 式 如 下 ： w w w . w o n i u l o c k . c o m / g e t w i n m m . p h p ? t y p e = 1 & c o m p N a m e = & v i s i t e N o w = & c o d e = & i p = & s y s = & v e r = & s e t u p t i m e = & q q = & m d 5 = g 、   木 马 根 据 用 户 机 器 名 计 机 码 进 行 一 次 m d 5 计 算 ， 然 后 向 服 务 端 发 送 请 求 进 行 m d 5 查 寻 ， 如 果 服 务 端 配 置 好 的 机 器 码 m d 5 和 客 户 端 请 求 的 m d 5 值 一 致 ， 那 么 就 会 新 返 回 i d 号 ， u r l 等 等 值 ， 然 后 去 修 改 c o n f i g . d a t （ 主 页 配 置 文 件 ） 中 的 i d 、 u r l 等 等 字 段 （   作 者 想 黑 吃 黑 ） 。
图 2 2 ： 修 改 c o n f i g . d a t 配 置 文 件 h 、 根 据 机 器 码 查 询 获 取 广 告 配 置 ， 不 过 根 据 病 毒 后 台 显 示 该 功 能 目 前 疑 似 暂 未 启 用 。 图 2 3 ： 广 告 模 拟 点 击
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理