搜索

[13521] 2018-12-12_Mint木马变种泛滥，伪装“抖音电脑版”肆虐网络

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-12_Mint木马变种泛滥，伪装“抖音电脑版”肆虐网络 M i n t 木 马 变 种 泛 滥 ， 伪 装 “ 抖 音 电 脑 版 ” 肆 虐 网 络 安 全 豹   F r e e B u f   2 0 1 8 - 1 2 - 1 2 0 x 1   前 言 前 言 近 期 ， 金 山 毒 霸 安 全 实 验 室 通 过 近 期 ， 金 山 毒 霸 安 全 实 验 室 通 过 “ 捕 风 捕 风 ” 威 胁 感 知 系 统 的 数 据 监 控 ， 发 现 一 款 名 为 威 胁 感 知 系 统 的 数 据 监 控 ， 发 现 一 款 名 为 “ 西 瓜 看 图 西 瓜 看 图 ” 的 恶 意 软 件 。 该 软 的 恶 意 软 件 。 该 软 件 主 要 通 过 件 主 要 通 过 “ 荒 野 行 动 电 脑 版 荒 野 行 动 电 脑 版 ” 、 、 “ 抖 音 电 脑 版 抖 音 电 脑 版 ” 等 虚 假 下 载 器 进 行 传 播 。 该 虚 假 器 运 行 后 ， 实 际 安 装 的 是 等 虚 假 下 载 器 进 行 传 播 。 该 虚 假 器 运 行 后 ， 实 际 安 装 的 是 “ 蜻 蜓 蜻 蜓 助 手 助 手 ” 安 卓 模 拟 器 ， 并 由 安 卓 模 拟 器 ， 并 由 “ 蜻 蜓 助 手 蜻 蜓 助 手 ” 推 广 安 装 推 广 安 装 “ 西 瓜 看 图 西 瓜 看 图 ” 木 马 远 控 软 件 。 该 软 件 通 过 云 控 手 段 ， 进 行 主 页 劫 木 马 远 控 软 件 。 该 软 件 通 过 云 控 手 段 ， 进 行 主 页 劫 持 、 图 标 推 广 、 软 件 推 广 、 广 告 弹 窗 等 恶 意 行 为 。 由 于 该 木 马 会 在 用 户 磁 盘 中 创 建 持 、 图 标 推 广 、 软 件 推 广 、 广 告 弹 窗 等 恶 意 行 为 。 由 于 该 木 马 会 在 用 户 磁 盘 中 创 建 “ M i n t ” 的 目 录 ， 保 存 云 控 插 的 目 录 ， 保 存 云 控 插 件 ， 所 以 我 们 特 此 命 名 为 件 ， 所 以 我 们 特 此 命 名 为 “ M i n t ” 木 马 。 木 马 。 0 x 2   传 播 和 推 广 传 播 和 推 广 M i n t 木 马 的 传 播 路 径 ： 虚 假 下 载 器 运 行 界 面 ： 该 虚 假 下 载 器 无 签 名 ， 无 版 本 信 息 ， 点 击 “ 立 即 安 装 ” 会 下 载 运 行 “ 蜻 蜓 助 手 ” ， 而 不 是 用 户 预 想 的 “ 荒 野 行 动 网 易 版 ” 。 “ 蜻 蜓 助 手 ” 安 装 完 毕 后 ， 会 默 认 勾 选 “ 西 瓜 看 图 ” （ M i n t 木 马 家 族 的 母 体 ） ， 用 户 如 稍 有 不 慎 点 击 “ 立 即 启 动 ” 就 会 被 植 入 木 马 软 件 。
0 x 3   模 块 和 流 程 模 块 和 流 程 功 能 模 块 功 能 模 块 M i n t   云 控 木 马 主 要 为 6 个 功 能 ： 信 息 收 集 ， 广 告 弹 窗 ， 软 件 推 广 ， 图 标 推 广 ， 主 页 劫 持 ， 更 新 变 异 。 其 中 ， 广 告 弹 窗 ， 软 件 推 广 ， 图 标 推 广 和 主 页 劫 持 的 具 体 内 容 ， 均 由 云 端 进 行 配 置 ， 通 过 下 发 文 件 的 形 式 ， 在 本 地 解 析 执 行 ； 更 新 变 异 ， 则 保 证 云 控 载 体 不 断 更 新 和 变 形 ， 以 躲 避 杀 软 查 杀 和 更 新 功 能 。 功 能 模 块 图 ：
信 息 收 集 ， 主 页 劫 持 ， 广 告 等 相 关 U R L 信 息 ： 执 行 流 程 执 行 流 程 M i n t 木 马 利 用 傀 儡 进 程 注 入 、 B H O 机 制 （ 参 考 h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / B r o w s e r H e l p e r O b j e c t ） 、 U P X 加 壳 、 数 据 加 密 、 服 务 劫 持 等 技 术 ， 使 整 个 执 行 过 程 具 有 很 高 的 隐 蔽 性 。 执 行 流 程 ：
0 x 4   影 响 和 分 布 影 响 和 分 布 通 过 “ 捕 风 ” 威 胁 感 知 系 统 的 监 控 到 ， M i n t 木 马 家 族 8 月 中 旬 开 始 爆 发 ； 9 月 中 旬 活 跃 达 到 峰 值 ， 感 染 用 户 量 达 5 W / 天 ； 1 0 月 之 后 活 跃 降 低 ， 近 期 又 逐 渐 活 跃 起 来 。 受 感 染 的 用 户 中 ， 占 比 最 多 的 是 1 1 2 3 变 种 （ 7 1 . 2 3 % ） ， 其 次 是 1 1 2 2 变 种 （ 1 7 . 1 1 % ） （ 因 为 变 种 众 多 ， 为 了 方 便 起 见 ， 我 们 暂 且 用 文 件 名 后 面 的 版 本 号 表 示 变 种 名 称 。 如 u r l 包 含 的 文 件 名
X i G u a V i e w e r _ 1 1 2 3 . e x e ， 表 示 1 1 2 3 变 种 ） 变 种 分 布 图 ： 0 x 5   细 节 分 析 细 节 分 析 环 境 检 测 环 境 检 测 M i n t 母 体 通 过 注 册 表 、 文 件 和 进 程 关 系 ， 检 测 是 否 沙 箱 / 虚 拟 机 / 调 试 / 杀 软 环 境 ， 是 否 浏 览 器 或 下 载 器 启 动 ； 不 是 的 话 才 执 行 恶 意 代 码 ， 否 则 只 调 起 安 装 界 面 。
沙 箱 / 虚 拟 机 环 境 检 测 ： 调 试 工 具 和 安 全 监 控 软 件 的 检 测 名 单 ： 配 置 下 拉 配 置 下 拉 云 控 载 体 解 密 模 块 配 置 文 件 V e r . i n i ：
获 取 到 解 密 后 的 内 容 ： 整 理 出 模 块 配 置 文 件 V e r . i n i 各 字 段 的 含 义 如 下 ：
接 着 云 控 载 体 进 行 字 段 解 析 并 更 新 插 件 模 块 和 推 广 配 置 文 件 ， 将 核 心 模 块 c o r e . d a t 解 密 并 注 入 到 傀 儡 进 程 中 执 行 ： 核 心 模 块 c o r e . d a t 会 解 密 推 广 配 置 文 件 s e t t i n g s . x m l ， 并 执 行 相 应 的 推 广 劫 持 操 作 ： 更 新 变 异 更 新 变 异 云 控 载 体 从 模 块 配 置 文 件 V e r . i n i 中 获 取 最 新 载 体 的 下 载 地 址 （ h t t p : / / d o w n . o m * * * * * * * . c o m / L s v r . d a t ） ， 保 存 为 P s L a n g u e . d a t ， 然 后 解 密 还 原 成 P E 文 件 ， 复 制 到 系 统 目 录 下 ， 随 机 命 名 ， 并 通 过 劫 持 w u a u s e r v 系 统 服 务 的 方 式 ， 实 现 自 更 新 和 启 动 。
主 页 劫 持 主 页 劫 持 （ 1 ） 首 先 ， M i n t 母 体 （ “ 西 瓜 看 图 ” ） 下 载 h t t p : / / p l g . * * * * * * * . c o m / p l g . d a t ， 并 执 行 ； p l g . d a t   从 资 源 中 释 放 两 个 d l l （ 分 别 是 3 2 位 和 6 4 位 ） ， 用 r e g s v r 3 2 . e x e 注 册 d l l 文 件 。 通 过 B H O 机 制 劫 持 I E 浏 览 器 主 页 为 h t t p : / / u e e . m e / q 8 g n （ 跳 转 后 最 终 为 2 3 4 5 网 址 导 航 ） 。
（ 2 ） 其 次 ， 在 c o r e . d a t 核 心 功 能 模 块 中 ， 通 过 修 改 注 册 表 的 方 式 篡 改 用 户 主 页 ： s e t t i n g s . x m l 中 篡 改 页 的 配 置 信 息 ： 图 标 推 广 图 标 推 广
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理