搜索

[13018] 2018-08-03_贪狼Rootkit僵尸家族再度活跃：挖矿+DDOS+劫持+暗刷

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-08-03_贪狼Rootkit僵尸家族再度活跃：挖矿+DDOS+劫持+暗刷 贪 狼 R o o t k i t 僵 尸 家 族 再 度 活 跃 ： 挖 矿 + D D O S + 劫 持 + 暗 刷 F r e e B u f   2 0 1 8 - 0 8 - 0 3 以 下 文 章 来 源 于 渔 村 安 全   ， 作 者 渔 村 安 全 概 述 概 述 “ G h o s t ” 盗 版 系 统 和 系 统 激 活 工 具 一 直 都 是 国 内 病 毒 传 播 的 重 要 渠 道 之 一 ， 尤 其 以 R o o t k i t / B o o t k i t 类 型 的 顽 固 病 毒 居 多 ， 此 类 病 毒 安 装 普 遍 早 于 安 全 软 件 ， 大 多 会 通 过 内 核 层 来 隐 藏 保 护 自 身 模 块 ， 并 凭 借 植 入 时 机 的 先 手 优 势 和 安 全 杀 软 进 行 深 层 对 抗 。 近 期 通 过 近 期 通 过 “ 捕 风 捕 风 ” 威 胁 感 知 系 统 监 控 ， 我 们 发 现 威 胁 感 知 系 统 监 控 ， 我 们 发 现 “ 贪 狼 贪 狼 ” R o o t k i t 僵 尸 家 族 在 近 僵 尸 家 族 在 近 2 个 月 开 始 再 次 活 跃 ， 个 月 开 始 再 次 活 跃 ， “ 贪 狼 贪 狼 ” 病 毒 一 病 毒 一 直 都 是 盗 版 系 统 预 装 渠 道 中 的 活 跃 家 族 ， 早 期 变 种 可 以 追 溯 到 直 都 是 盗 版 系 统 预 装 渠 道 中 的 活 跃 家 族 ， 早 期 变 种 可 以 追 溯 到 2 0 1 5 年 ， 起 初 主 要 用 于 主 页 劫 持 和 流 量 暗 刷 ， 从 年 ， 起 初 主 要 用 于 主 页 劫 持 和 流 量 暗 刷 ， 从 我 们 的 监 控 记 录 看 ， 我 们 的 监 控 记 录 看 ， “ 贪 狼 贪 狼 ” 基 本 上 每 年 都 会 有 一 次 较 大 的 活 跃 更 新 ， 在 基 本 上 每 年 都 会 有 一 次 较 大 的 活 跃 更 新 ， 在 1 7 年 初 曾 被 安 全 友 商 命 名 为 年 初 曾 被 安 全 友 商 命 名 为 “ 狼 人 杀 狼 人 杀 ” 并 并 分 析 曝 光 ， 短 暂 潜 伏 以 后 在 分 析 曝 光 ， 短 暂 潜 伏 以 后 在 1 7 年 年 9 月 份 又 出 现 过 小 幅 更 新 ， 今 年 月 份 又 出 现 过 小 幅 更 新 ， 今 年 6 月 份 开 始 月 份 开 始 “ 贪 狼 贪 狼 ” 家 族 开 始 再 度 活 跃 ， 除 了 家 族 开 始 再 度 活 跃 ， 除 了 H t t p ( s ) 劫 持 模 块 不 断 加 强 外 ， 开 始 顺 应 黑 产 潮 流 加 入 劫 持 模 块 不 断 加 强 外 ， 开 始 顺 应 黑 产 潮 流 加 入 “ 门 罗 币 门 罗 币 ” 挖 矿 功 能 模 块 ， 并 且 在 挖 矿 功 能 模 块 ， 并 且 在 6 月 月 4 号 开 始 通 过 更 新 渠 道 号 开 始 通 过 更 新 渠 道 下 发 下 发 “ H y d r a ” D D O S 木 马 插 件 ， 木 马 插 件 ， “ 贪 狼 贪 狼 ” 僵 尸 网 络 的 威 胁 度 和 攻 击 性 正 在 不 断 加 强 。 僵 尸 网 络 的 威 胁 度 和 攻 击 性 正 在 不 断 加 强 。 正 文 正 文 “ 贪 狼 ” R o o t k i t 病 毒 主 要 通 过 g h o s t 系 统 等 渠 道 感 染 用 户 计 算 机 ， 通 过 多 种 方 式 隐 藏 自 身 、 对 抗 杀 软 ， 同 时 模 块 众 多 ， 功 能 灵 活 复 杂 。 不 同 模 块 分 别 实 现 浏 览 器 劫 持 、 d d o s 攻 击 、 加 密 货 币 挖 矿 、 刷 量 等 功 能 。 根 据 检 测 到 的 感 染 量 估 算 全 国 超 过 5 0 万 机 器 遭 到 感 染 。 模 块 名 模 块 名 主 要 功 能 主 要 功 能 P l a t f o r m . d l l 功 能 模 块 更 新 、 加 载 等 C o n s o l e A p p l i c a t i o n 8 . d l l 门 罗 币 挖 矿 H y d r a C l i e n t . d l l D D O S 攻 击 S t e v e n R o b o t . d l l 上 报 、 下 拉 配 置 m L o a d e r . d l l 插 件 加 载 器 U s e r F r a m e w o r k . d l l 插 件 核 心 框 架 、 K e r n e l M a n a g e r . d l l 插 件 管 理 H S M a n a g e r . d l l 主 页 劫 持 W e b B r o w s e r . d l l 后 台 广 告 刷 量 A p p M a n a g e 6 4 . d l l 浏 览 器 劫 持 S S L H i j a c k 1 . 0 . 6 - w i n 6 4 . d l l H T T P S 劫 持 H i j a c k . d l l 浏 览 器 劫 持 K e r n e l H i j a c k . s y s 内 核 劫 持 模 块 各 模 块 通 过 联 网 下 载 到 本 地 执 行 ， 被 R C 4 或 A E S 加 密 ； 且 都 有 统 一 的 导 出 名 称 B s P r o c e s s S t a r t u p 、 B s D l l S t a r t u p 、 B s C l e a n u p 、 B s E n v i r o n m e n t ； 渔 村 安 全 渔 村 安 全   . 珠 海 猎 豹 安 全 团 队 官 方 账 号
模 块 被 注 入 到 目 标 进 程 后 直 接 调 用 B s P r o c e s s S t a r t u p 或 B s D l l S t a r t u p ； B s P r o c e s s S t a r t u p 和 B s D l l S t a r t u p 首 先 确 定 加 载 基 址 ， 并 获 取 p e b 、 t e b 相 关 信 息 初 始 化 导 出 结 构 体 B s E n v i r o n m e n t ， 然 后 进 行 重 定 位 修 复 、 导 入 表 初 始 化 、 C R T 初 始 化 、 添 加 异 常 处 理 表 等 前 置 工 作 ， 最 后 进 入 主 功 能 函 数 。 模 块 自 加 载 ， 自 初 始 化 流 程 ： 由 于 模 块 众 多 ， 下 面 简 单 分 析 其 中 几 个 模 块 的 主 要 行 为 。 核 心 驱 动 模 块 核 心 驱 动 模 块
1 、 驱 动 加 了 V M P 壳 保 护 ， 加 载 后 注 册 进 程 回 调 、 映 像 回 调 、 注 册 表 回 调 、 关 机 回 调 ， 并 创 建 3 个 内 核 线 程 ； 2 、 通 过 进 程 回 调 A P C 注 入 内 置 P l a t f o r m . d l l 到 l s a s s . e x e ， P l a t f o r m . d l l 执 行 真 正 的 病 毒 行 为 ； 3 、 映 像 回 调 拦 截 浏 览 器 进 程 的 杀 软 模 块 加 载 ； 4 、 注 册 表 回 调 保 护 自 身 驱 动 服 务 项 ； 5 、 关 机 回 调 回 写 自 身 驱 动 文 件 和 注 册 表 服 务 项 R 3 层 核 心 框 架 层 核 心 框 架 P l a t f o r m . d l l 该 模 块 是 驱 动 内 置 的 模 块 ， 核 心 功 能 是 加 载 挖 矿 模 块 和 下 载 配 置 文 件 并 更 新 其 他 模 块 。 1 、 加 载 内 置 的 C o n s o l e A p p l i c a t i o n 8 . d l l （ 挖 矿 模 块 ） ； 2 、 挂 钩 N t Q u e r y S y s t e m I n f o r m a t i o n （ 针 对 t a s k m g r . e x e ， 进 程 名 过 滤 ） ； 3 、 挂 钩 L d r L o a d D l l （ 针 对 3 6 0 s e . e x e 、 3 6 0 c h r o m e . e x e ） ， 过 滤 杀 软 的 浏 览 器 保 护 模 块
4 、 访 问 C & C 服 务 器 ， 内 置 多 个 备 用 服 务 器 地 址 ； 上 传 机 器 信 息 并 下 载 配 置 文 件 ， 配 置 文 件 解 密 后 如 下 ： 5 、 根 据 配 置 文 件 进 一 步 下 载 其 他 模 块 并 加 载 执 行 。 内 嵌 内 嵌 “ 门 罗 币 门 罗 币 ” 挖 矿 模 块 挖 矿 模 块 C o n s o l e A p p l i c a t i o n 8 . d l l
p d b 路 径 ： 1 、   C o n s o l e A p p l i c a t i o n 8 . d l l 内 置 一 个 z i p 文 件 ， 包 含 c o n f i g . j s o n 、 s t a r t . c m d 、 x m r i g . e x e ； 2 、   查 询 注 册 表   [ H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l K i n g s o f t I n t e r n e t   S e c u r i t y ] 的 值 “ U n i n s t a l l S t r i n g ” ， 成 功 则 直 接 返 回 ， 不 进 行 挖 矿 ； 3 、   解 压 z i p 文 件 并 加 载 挖 矿 模 块 进 行 挖 矿 ； 4 、   挖 矿 钱 包 和 矿 池 地 址 如 下 ： 浏 览 器 劫 持 模 块 浏 览 器 劫 持 模 块 A p p M a n a g e . d l l p d b 路 径 ： 通 过 A P C 方 式 被 注 入 到 进 程 ， 如 果 进 程 是 3 6 0 s e . e x e 、 3 6 0 c h r o m e . e x e ， 则 查 找 并 删 除 文 件 s e s a f e . d l l ； 如 果 进 程 是 以 下 杀 软 进 程 ， 则 查 找 并 删 除 文 件 Q M P r o t e c t . d l l 、 Q M P r o t e c t 6 4 . d l l 、 Q M I E S a f e D l l . d l l 、 Q M I E S a f e D l l 6 4 . d l l ； 如 果 进 程 名 包 含 q q p c 则 直 接 退 出 进 程 。
如 果 进 程 是 e x p l o r e r . e x e ， 则 挂 钩 C r e a t e P r o c e s s I n t e r n a l W 、 R t l C r e a t e P r o c e s s P a r a m e t e r s 、 Z w C r e a t e U s e r P r o c e s s 、 R t l C r e a t e P r o c e s s P a r a m e t e r s E x ， 对 以 下 浏 览 器 进 程 的 命 令 行 参 数 进 行 劫 持 ；
同 时 还 会 向 系 统 添 加 根 证 书 ， 用 于 h t t p s 劫 持 ：
D D O S 攻 击 插 件 攻 击 插 件 H y d r a C l i e n t . d l l p d b 路 径 ： 该 模 块 通 过 A P C 方 式 被 注 入 到 进 程 w u a u c l t . e x e ， 是 D D O S 攻 击 模 块 ； C C 地 址 为 1 1 5 . 2 3 1 . 2 1 9 . 3 2 ； 支 持 常 见 的 D D O S 攻 击 方 式 。

附 录 附 录 I O C : M D 5 ： ： 2 E C E E 4 3 1 A 3 9 4 5 3 8 D D 8 B 4 5 1 B 1 4 7 D 6 8 4 A D I P ： ： 1 1 5 . 2 3 1 . 2 1 9 . 3 2 U R L ： ： h x x p s : / / d o w n . 1 3 5 h . c o m / s a v e / c h i l l i / D w Y Q 0 Y Y 0 x 6 . j p g h x x p s : / / d o w n . 1 3 5 h . c o m / s a v e / c h i l l i / C U Y Q 0 Y Y 0 x 6 . j p g h x x p : / / i x . 1 3 5 g g . c o m / a p i / _ m c v _ c h i l l i s . h t m l h x x p : / / c l i e n t . 1 3 5 g g . c o m / a p i / _ m s v _ s o f t w a r e . h t m l h x x p : / / c l i e n t . 1 1 5 w w . c o m / a p i / _ m v _ b a m b o o . h t m l h x x p : / / c l i e n t . 3 3 5 d h . c o m / a p i / _ m v _ b a m b o o . h t m l h x x p : / / c l i e n t . 1 1 5 l l . c o m / a p i / _ m v _ b a m b o o . h t m l D O M A I N ： ： i x 2 . 1 3 5 g g . c o m i x . 1 3 5 g g . c o m i x s . 1 1 5 r r . c o m l p s . 1 1 5 r r . c o m i x s . 1 3 5 h . c o m 5 0 s t a r . c o m t j . 1 6 6 1 0 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理