搜索

[12656] 2018-05-02_神话传奇：一款通过卖号在微信群传播的远控木马

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-05-02_神话传奇：一款通过卖号在微信群传播的远控木马 神 话 传 奇 ： 一 款 通 过 卖 号 在 微 信 群 传 播 的 远 控 木 马 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 0 5 - 0 2 近 期 ， 近 期 ， 3 6 0 安 全 卫 士 监 测 到 了 一 批 通 过 微 信 群 传 播 的 远 控 木 马 ， 木 马 针 对 在 网 上 倒 卖 微 信 号 的 人 群 定 向 投 放 。 卖 安 全 卫 士 监 测 到 了 一 批 通 过 微 信 群 传 播 的 远 控 木 马 ， 木 马 针 对 在 网 上 倒 卖 微 信 号 的 人 群 定 向 投 放 。 卖 号 人 的 交 流 群 里 时 常 有 不 同 的 小 号 在 散 播 诱 导 性 的 木 马 程 序 ， 不 知 情 的 卖 号 人 运 行 木 马 后 ， 电 脑 上 就 被 植 入 后 号 人 的 交 流 群 里 时 常 有 不 同 的 小 号 在 散 播 诱 导 性 的 木 马 程 序 ， 不 知 情 的 卖 号 人 运 行 木 马 后 ， 电 脑 上 就 被 植 入 后 门 。 门 。 认 识 卖 号 人 认 识 卖 号 人 在 分 析 远 控 木 马 之 前 ， 我 们 先 来 认 识 一 下 这 批 远 控 木 马 的 目 标 人 群 — — 卖 号 人 。 卖 号 分 为 很 多 种 ， 本 文 主 要 指 的 是 倒 卖 微 信 号 ， 更 具 体 的 应 该 是 卖 “ 微 信 6 2 数 据 ” 。 这 里 简 单 认 识 一 下 “ 微 信 6 2 数 据 ” ， 这 个 数 据 是 微 信 用 户 登 录 新 设 备 后 生 成 的 加 密 数 据 ， 通 过 导 入 该 数 据 到 新 设 备 中 ， 可 以 跳 过 新 设 备 登 录 验 证 的 步 骤 直 接 登 录 账 号 ， 这 一 串 数 据 是 以 数 字 “ 6 2 ” 开 头 ， 被 卖 号 人 习 惯 性 的 称 为 “ 6 2 数 据 ” 。 如 下 是 一 条 卖 号 人 提 供 的 微 信 号 数 据 ， 格 式 为 “ 账 号 — 密 码 — 6 2 数 据 — 最 后 登 录 时 间 ” 。 众 所 周 知 ， 微 信 是 个 天 然 营 销 的 平 台 ， 围 绕 在 微 信 圈 里 的 产 业 链 更 是 举 不 胜 举 ， 自 然 就 有 人 搞 起 了 微 信 号 的 买 卖 交 易 。 而 对 于 账 号 交 易 至 关 重 要 的 6 2 数 据 ， 本 身 使 用 起 来 颇 为 麻 烦 （ 需 要 辅 助 工 具 ） ， 所 以 免 不 了 有 人 要 做 一 些 科 普 性 工 作 ， 网 上 随 便 找 一 下 6 2 数 据 相 关 。 看 上 去 营 销 工 作 做 得 还 可 以 ， 于 是 加 扣 扣 打 探 一 下 行 情 ， 发 现 的 确 是 一 条 产 业 链 。
打 开 所 谓 的 平 台 ， 其 实 是 在 卓 郎 上 注 册 的 一 个 “ 自 动 发 卡 ” 商 户 ， 上 面 提 供 多 种 不 同 品 质 需 求 的 微 信 6 2 数 据 账 号 。 后 来 发 现 ， 不 少 卖 号 的 代 理 人 有 自 己 各 自 的 渠 道 ， 如 下 为 另 一 自 动 批 发 商 户 ：
这 些 卖 号 的 代 理 人 平 时 还 会 通 过 微 信 群 来 进 行 交 流 。 我 们 尝 试 联 系 某 个 卖 号 的 代 理 人 ， 经 过 沟 通 后 发 现 有 人 专 门 负 责 在 微 信 群 里 散 播 诱 导 性 的 远 控 木 马 程 序 。
有 意 思 的 是 ， 卖 号 代 理 人 一 般 都 会 使 用 微 信 电 脑 版 来 工 作 ， 正 常 情 况 下 群 里 的 木 马 文 件 自 动 接 收 后 会 被 3 6 0 识 别 为 木 马 并 隔 离 查 杀 ， 只 有 用 户 主 动 去 找 回 并 运 行 木 马 程 序 才 会 中 招 。
经 了 解 ， 进 这 个 群 需 要 交 5 0 块 R M B ， 有 一 定 的 门 槛 ， 目 前 该 群 已 满 5 0 0 人 ， 其 中 却 有 不 少 “ 混 进 去 ” 的 小 号 在 散 播 该 木 马 。 远 控 木 马 分 析 远 控 木 马 分 析 下 面 以 上 文 提 及 的 微 信 群 内 散 播 的 最 新 样 本 “ 国 内 老 号 5 0 0 个 6 2 数 据 . e x e ” 为 例 进 行 分 析 。 传 播 者 试 图 以 “ 国 内 老 号 5 0 0 个 6 2 数 据 ” 之 类 的 文 件 名 诱 导 卖 号 人 下 载 运 行 木 马 释 放 体 , 传 播 中 的 木 马 文 件 名 和 程 序 图 标 都 比 较 有 欺 骗 性 。 该 木 马 的 主 要 运 行 流 程 如 下 图 所 示 ： （ 一 ） 、 木 马 释 放 体 （ 一 ） 、 木 马 释 放 体 木 马 释 放 体 运 行 后 主 要 的 功 能 代 码 都 在 窗 口 F o r m 1 的 活 动 过 程 函 数 T F o r m 1 : F o r m A c t i v a t e 里 ， 启 动 后 先 从 资 源 里 释 放 一
个 加 密 的 z i p 压 缩 包 ， 保 存 到 D 盘 根 目 录 命 名 为 ： “ 如 遇 登 录 器 打 不 开 . t x t ” 。 该 压 缩 包 里 存 放 了 首 次 感 染 用 户 需 要 用 到 的 所 有 文 件 ， 被 解 压 到 用 户 的 图 片 目 录 （ 该 目 录 将 作 为 木 马 的 安 装 目 录 ） ， 解 压 密 码 为 “ 2 0 1 7 ” 。 如 果 安 装 目 录 里 事 先 已 存 在 恶 意 程 序 “ K G G o u W o . e x e ” （ 酷 狗 躺 枪 。 。 。 ） ， 说 明 不 是 首 次 运 行 ， 就 直 接 打 开 一 个 已 存 在 的 文 本 文 件 “ 成 功 数 据 ( 1 2 7 ) . t x t ” 。 这 里 顺 便 提 下 ， 由 于 木 马 判 断 了 “ D : 如 遇 到 登 录 器 打 不 开 . t x t ” 这 个 压 缩 文 件 是 否 存 在 ， 所 以 在 没 有 D 盘 的 系 统 ， 木 马 文 件 会 释 放 失 败 ， 无 法 继 续 后 续 行 为 。 看 一 下 压 缩 文 件 解 压 到 安 装 目 录 后 文 件 列 表 。 接 着 ， 在 安 装 目 录 下 创 建 一 个 名 为 “ 3 6 0 管 家 . l n k ” 的 欺 骗 性 快 捷 方 式 ， 快 捷 方 式 的 目 标 指 向 了 刚 解 压 出 来 的 一 个 被 利 用 的 白 程 序 “ g a m e c o r e . e x e ” 。
“ g a m e c o r e . e x e ” 其 实 是 酷 狗 官 方 的 一 个 程 序 组 件 ， 且 具 有 有 效 的 数 字 签 名 。 “ g a m e c o r e . e x e ” 启 动 后 未 经 校 验 就 会 直 接 启 动 同 目 录 下 的 文 件 名 为 “ K G G o u W o . e x e ” 的 程 序 。 木 马 作 者 通 过 “ 白 加 黑 ” 的 方 法 ， 对 抗 安 全 软 件 的 拦 截 。 木 马 释 放 体 将 伪 造 的 “ 3 6 0 管 家 . l n k “ 的 快 捷 方 式 复 制 到 系 统 的 启 动 目 录 下 实 现 开 机 启 动 ， 具 体 的 实 现 的 过 程 比 较 有 特 点 。
首 先 ， 构 造 一 个 特 殊 的 命 令 行 如 下 ： 从 该 命 令 行 可 以 看 出 ， 调 用 的 程 序 为 安 装 目 录 下 的 “ b a i d u . c o m ” 这 个 程 序 ， 该 程 序 实 际 上 是 个 N i r C m d 命 令 行 工 具 。 命 令 行 给 该 工 具 传 递 “ e x e c m d   c o p y ” 命 令 来 把 “ 3 6 0 管 家 . l i n k ” 快 捷 方 式 拷 贝 到 开 始 菜 单 里 的 启 动 目 录 ， 由 此 实 现 自 启 动 的 目 的 。 在 x p 环 境 下 “ b a i d u . c o m ” 的 程 序 路 径 包 含 空 格 且 作 者 未 使 用 双 引 号 包 含 （ 发 现 此 处 是 木 马 的 b u g ， 在 w i n 7 以 上 环 境 能 正 常 运 行 命 令 行 ） ， 命 令 行 被 截 断 将 导 致 后 续 执 行 失 败 如 下 ： 然 后 ， 木 马 释 放 体 将 构 造 好 的 命 令 复 制 到 系 统 剪 贴 板 里 。 C : D o c u m e n t s   a n d S e t t i n g s A d m i n i s t r a t o r M y   D o c u m e n t s M y   P i c t u r e s b a i d u . c o m   e x e c m d   c o p y " C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r M y   D o c u m e n t s M y   P i c t u r e s 3 6 0 管 家 . l n k "   " C : D o c u m e n t s   a n d S e t t i n g s A d m i n i s t r a t o r 「 开 始 」 菜 单 程 序 启 动 3 6 0 管 家 . l n k "
最 后 ， 木 马 释 放 体 启 动 同 目 录 下 的 “ S p y + + . e x e ” 来 运 行 剪 贴 板 里 的 命 令 。   “ s p y + + . e x e ” 通 过 调 用 “ b a i d u . c o m ” 命 令 行 工 具 来 模 拟 键 盘 操 作 ， 首 先 是 发 送 “ W i n + R ” 快 捷 键 来 打 开 w i n d o w s 运 行 窗 口 ， 接 着 使 用 “ C t r l + V ” 快 捷 键 粘 贴 事 先 复 制 好 的 命 令 行 ， 然 后 马 上 就 按 回 车 键 执 行 ， 从 而 实 现 运 行 剪 贴 板 里 命 令 行 的 操 作 ， 并 且 最 后 为 了 不 引 起 用 户 的 怀 疑 ， 还 调 用 C M D 命 令 删 除 运 行 记 录 。 添 加 开 机 启 动 之 后 , 木 马 释 放 体 会 直 接 运 行 “ 3 6 0 管 家 . l n k “ ， 通 过 白 程 序 “ g a m e c o r e . e x e ” 启 动 恶 意 程 序 ” K u G o u W o . e x e ” 。 之 后 ， 木 马 释 放 体 打 开 一 个 “ 成 功 数 据 ( 1 2 7 ) . t x t ” 来 迷 惑 中 招 用 户 。
“ 成 功 数 据 ( 1 2 7 ) . t x t ” 内 容 如 下 所 示 ， 可 以 看 到 是 一 些 微 信 账 号 和 6 2 数 据 。 （ 二 ） 、 远 控 木 马 （ 二 ） 、 远 控 木 马 K G G o u W o . e x e 的 图 标 伪 装 成 私 服 的 样 式 ， 实 际 上 是 个 远 控 木 马 ， 当 运 行 在 非 安 装 目 录 时 ， 会 显 示 传 奇 游 戏 的 图 片 ， 来 欺 骗 用 户 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理