搜索

[13732] 2019-02-04_电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-02-04_电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜 电 信 、 百 度 客 户 端 源 码 疑 遭 泄 漏 ， 驱 魔 家 族 窃 取 隐 私 再 起 波 澜 安 全 豹   F r e e B u f   2 0 1 9 - 0 2 - 0 4 一 、 概 述 一 、 概 述 在 在 2 0 1 8 年 年 1 2 月 份 ， 毒 霸 安 全 团 队 对 外 披 露 了 主 要 进 行 月 份 ， 毒 霸 安 全 团 队 对 外 披 露 了 主 要 进 行 “ 流 量 暗 刷 与 劫 持 流 量 暗 刷 与 劫 持 ” 攻 击 的 僵 尸 网 络 攻 击 的 僵 尸 网 络 ” 驱 魔 驱 魔 ” 家 族 家 族 ( 报 告 链 报 告 链 接 接 ) ， 该 家 族 从 ， 该 家 族 从 2 0 1 7 年 开 始 逐 步 走 向 活 跃 ， 通 过 频 繁 变 换 流 氓 宿 主 外 壳 进 行 传 播 ， 预 估 全 网 感 染 用 户 超 过 年 开 始 逐 步 走 向 活 跃 ， 通 过 频 繁 变 换 流 氓 宿 主 外 壳 进 行 传 播 ， 预 估 全 网 感 染 用 户 超 过 5 0 0 万 ， 成 为 近 年 国 内 活 跃 僵 尸 网 络 中 的 佼 佼 者 ， 其 云 控 功 能 日 渐 强 大 ， 仅 当 前 活 跃 推 送 的 功 能 插 件 就 已 超 过 万 ， 成 为 近 年 国 内 活 跃 僵 尸 网 络 中 的 佼 佼 者 ， 其 云 控 功 能 日 渐 强 大 ， 仅 当 前 活 跃 推 送 的 功 能 插 件 就 已 超 过 7 0 余 余 款 。 款 。 从 毒 霸 “ 捕 风 ” 系 统 近 期 的 监 控 数 据 看 ， “ 驱 魔 ” 家 族 被 我 们 曝 光 披 露 以 后 ， 其 幕 后 团 队 并 没 有 停 止 传 播 和 病 毒 功 能 的 迭 代 ， 近 期 我 们 再 次 监 控 到 其 推 送 ” 电 商 暗 刷 模 块 ” 的 更 新 变 种 。 新 版 本 除 了 原 有 的 ” 淘 宝 天 猫 暗 刷 ” ， 新 加 入 了 隐 私 窃 取 功 能 ， 能 够 实 时 监 控 收 集 用 户 电 脑 中 的 微 信 号 、 Q Q 号 、 浏 览 器 历 史 记 录 以 及 当 前 操 作 窗 口 信 息 等 个 人 隐 私 。 虽 然 尚 不 知 道 这 些 隐 私 数 据 究 竟 将 如 何 被 黑 产 利 用 ， 但 我 们 推 测 病 毒 作 者 收 集 浏 览 器 记 录 与 用 户 联 系 方 式 ， 极 有 可 能 用 于 对 用 户 的 习 惯 、 网 络 行 为 的 标 签 分 析 ， 进 行 定 制 广 告 推 送 和 网 络 营 销 推 广 活 动 ， 甚 至 可 能 被 打 包 出 售 给 第 三 方 黑 产 团 伙 ， 对 特 定 的 用 户 群 体 进 行 精 准 钓 鱼 诈 骗 攻 击 等 。 加 入 隐 私 窃 取 功 能 的 新 版 ” 天 猫 淘 宝 暗 刷 ” 插 件 ， 运 行 流 程 如 下 ： 二 、 溯 源 分 析 二 、 溯 源 分 析
我 们 对 上 图 中 用 于 收 集 用 户 隐 私 的 “ I m g V i e w e r . d l l ” 进 行 分 析 时 ， 意 外 发 现 其 文 件 版 本 信 息 标 注 为 “ 小 翼 看 图 主 程 序 ” ， 版 权 信 息 为 “ C h i n a   T e l e c o m ( 中 国 电 信 ) ”   , 通 过 内 部 溯 源 系 统 搜 索 匹 配 ， 我 们 发 现 ” 中 国 电 信 ” 旗 下 多 款 软 件 和 隐 私 收 集 模 块 “ I m g V i e w e r . d l l ” 的 代 码 相 似 度 极 高 ， 数 据 上 报 的 字 段 格 式 也 完 全 一 致 ， 但 通 过 病 毒 C & C 服 务 器 等 其 他 方 面 的 关 联 ， 暂 未 发 现 和 中 国 电 信 存 在 直 接 关 系 ， 所 以 我 们 怀 疑 该 病 毒 模 块 的 作 者 通 过 某 种 渠 道 ( 比 如 ” 曾 经 就 职 ” ) ， 掌 握 有 中 国 电 信 旗 下 部 分 客 户 端 / 服 务 端 源 码 ， 并 加 以 改 造 用 于 制 作 窃 取 用 户 隐 私 的 病 毒 ， 另 外 在 该 病 毒 模 块 的 代 码 中 ， 我 们 还 发 现 ” 百 度 ” 旗 下 部 分 客 户 端 的 基 础 调 试 日 志 函 数 库 代 码 痕 迹 ， 整 个 ” 驱 魔 ” 病 毒 家 族 疑 点 重 重 ， 其 制 作 传 播 背 景 愈 发 扑 朔 迷 离 。 以 下 通 过 ” 中 国 电 信 ” 旗 下 的 ” 桌 面 3 D 动 态 天 气 ” 和 ” 百 度 ” 旗 下 的 ” 百 度 杀 毒 ” 进 行 对 比 ， 相 关 文 件 信 息 如 下 ： 对 比 结 论 如 下 ： ①   隐 私 收 集 模 块 “ I m g V i e w e r . d l l ” 的 数 据 上 报 代 码 逻 辑 和 电 信 ” 桌 面 3 D 动 态 天 气 ” 模 块 高 度 相 似 ：
②   隐 私 收 集 模 块 “ I m g V i e w e r . d l l ” 计 算 设 备 G U I D 的 算 法 和 电 信 “ 桌 面 3 D 动 态 天 气 ” 模 块 一 致 ， 并 且 保 存 路 径 均 为 “ P r o g r a m D a t a C h i n a T e l e c o m C o m m o n G l o b a l . d b “ ， 执 行 流 程 图 对 比 如 下 ： ③   隐 私 收 集 模 块 “ I m g V i e w e r . d l l ” 、 电 信 “ 桌 面 3 D 动 态 天 气 ” 模 块 以 及 百 度 杀 毒 W e b 安 全 组 件 “ W e b S a f e P l u g i n . d l l ” ， 均 包 含 相 同 的 日 志 库 函 数 代 码 （ 下 图 从 左 往 右 依 次 是 病 毒 模 块 、 中 国 电 信 、 百 度 杀 毒 的 文 件 ） ：
三 、 样 本 分 析 三 、 样 本 分 析 新 版 插 件 原 有 的 “ 天 猫 淘 宝 暗 刷 ” 功 能 不 再 赘 述 ， 详 情 可 见 我 们 之 前 披 露 的 报 告 《 揭 秘 “ 驱 魔 ” 家 族 ： 全 国 最 大 的 暗 刷 僵 尸 网 络 上 线 了 》 。 此 处 我 们 重 点 对 新 加 入 的 隐 私 收 集 模 块 “ I m g V i e w e r . d l l ” 进 行 分 析 ， 该 模 块 文 件 直 接 嵌 入 在 插 件 的 全 局 变 量 中 ， 通 过 新 建 线 程 进 行 反 射 加 载 载 入 内 存 运 行 。 该 D L L 文 件 中 包 含 3 个 导 出 函 数 ， 其 中 主 要 使 用 的 有 两 个 ， 一 个 是 E n a b l e D a t a 函 数 ， 它 的 作 用 为 控 制 标 记 数 据 上 报 开 关 ， 以 决 定 后 续 是 否 上 传 数 据 。 另 一 个 则 是 D l l E n t r y P o i n t 函 数 ， 主 要 负 责 创 建 一 个 线 程 ， 用 来 收 集 Q Q 号 、 微 信 号 、 窗 口 名 称 以 及 浏 览 器 历 史 记 录 。 病 毒 收 集 Q Q 号 和 微 信 号 的 方 式 可 谓 十 分 简 单 ， 通 过 读 取 软 件 默 认 的 安 装 路 径 下 （ % A P P D A T A % T e n c e n t Q Q M i s c 和 % T E M P % W e C h a t   F i l e s ） 的 文 件 名 ， 即 可 获 得 对 应 的 Q Q 号 和 微 信 号 ： 如 果 检 测 到 电 脑 上 安 装 了 以 下 的 浏 览 器 ， 则 会 对 使 用 者 的 上 网 记 录 进 行 全 方 位 的 记 录 ， 被 窃 取 记 录 的 浏 览 器 如 下 ： 一 旦 找 到 对 应 的 浏 览 器 ， 病 毒 则 会 直 接 定 位 到 相 应 浏 览 器 的 历 史 记 录 文 件 夹 ， 利 用 R e a d D i r e c t o r y C h a n g e s W 监 控 目 录 状 态 是 否 发 生 改 变 ， 若 变 化 则 读 取 相 应 历 史 记 录 文 件 的 数 据 ， 而 浏 览 器 的 历 史 记 录 文 件 ， 通 常 都 是 一 个 S Q L i t e 格 式 的 数 据 库 ， 没 有 特 殊 加 密 ， 所 以 只 需 要 通 过 相 应 的 S Q L 语 句 ， 即 可 获 得 访 问 的 网 址 信 息 ， 下 图 则 为 读 取 的 历 史 记 录 信 息 ： 最 终 ， 收 集 完 上 述 的 信 息 后 ， 病 毒 会 按 照 一 定 的 格 式 ， 将 数 据 上 传 到 h t t p : / / d a m a 5 7 . c o m / q u e r y . p h p 页 面 ， 部 分 相 关 字 段 的 说 明 如 下 ： G U I D : 电 脑 标 识
C K ： 用 于 区 分 上 报 类 型 ， 4 0 0 为 上 报 微 信 号 、 Q Q 号 、 当 前 打 开 窗 口 ； 4 1 0 为 上 报 当 前 访 问 的 网 址 d 0 ： Q Q 号 d 1 ： 微 信 号 或 者 窗 口 名 称 d 2 ： 网 址 U R L 或 者 窗 口 名 称 该 域 名 的 持 有 者 为 “ 泰 安 大 周 网 络 科 技 有 限 公 司 ” ， 相 关 备 案 信 息 如 下 ： 至 此 ， 信 息 的 收 集 上 报 全 部 完 成 ， 而 相 关 的 信 息 收 集 线 程 则 是 一 直 循 环 执 行 ， 只 要 不 结 束 进 程 ， 则 电 脑 上 的 相 关 信 息 会 一 直 上 传 。 四 、 四 、 I O C “ 驱 魔 驱 魔 ” 家 族 数 字 签 名 家 族 数 字 签 名 : 合 肥 臻 璞 网 络 科 技 有 限 公 司 深 圳 市 史 宾 赛 科 技 有 限 公 司 深 圳 市 盛 豪 霆 科 技 有 限 公 司 深 圳 市 云 舒 三 黑 科 技 有 限 公 司 北 京 博 奥 路 通 科 技 有 限 公 北 京 众 耀 科 技 有 限 公 司 深 圳 市 博 游 天 下 科 技 有 限 公 司
广 西 同 城 网 络 科 技 有 限 责 任 公 司 武 汉 乐 港 网 络 科 技 有 限 公 司 S h a n g h a i M a n j i a   N e t w o r k   T e c h n o l o g y   C o .   L t d . U R L : d a m a 5 7 . c o m * 本 文 作 者 ： 安 全 豹 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理