搜索

[13764] 2019-02-16_“暗流II”再次席卷：多玩旗下“游戏盒子”疑遭供应链攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-16_“暗流II”再次席卷：多玩旗下“游戏盒子”疑遭供应链攻击 “ 暗 流 I I ” 再 次 席 卷 ： 多 玩 旗 下 “ 游 戏 盒 子 ” 疑 遭 供 应 链 攻 击 F r e e B u f   2 0 1 9 - 0 2 - 1 6 以 下 文 章 来 源 于 安 全 豹   ， 作 者 安 全 豹 一 、 事 件 概 述 一 、 事 件 概 述 “ 暗 流 暗 流 ” 家 族 作 为 国 内 活 跃 僵 尸 网 络 中 的 佼 佼 者 ， 专 注 于 流 量 暗 刷 攻 击 ， 曾 经 在 国 内 某 知 名 软 件 公 司 的 家 族 作 为 国 内 活 跃 僵 尸 网 络 中 的 佼 佼 者 ， 专 注 于 流 量 暗 刷 攻 击 ， 曾 经 在 国 内 某 知 名 软 件 公 司 的 “ 正 规 正 规 ” 外 外 衣 保 护 下 寄 生 藏 身 多 年 ， 毒 霸 安 全 团 队 于 衣 保 护 下 寄 生 藏 身 多 年 ， 毒 霸 安 全 团 队 于 2 0 1 8 年 年 1 0 月 底 曾 率 先 对 其 进 行 挖 掘 披 露 ， 其 幕 后 黑 产 团 伙 显 然 没 有 轻 月 底 曾 率 先 对 其 进 行 挖 掘 披 露 ， 其 幕 后 黑 产 团 伙 显 然 没 有 轻 易 收 手 ， 所 谓 易 收 手 ， 所 谓 “ 百 足 之 虫 ， 死 而 不 僵 百 足 之 虫 ， 死 而 不 僵 ” ， 近 日 毒 霸 ， 近 日 毒 霸 “ 捕 风 捕 风 ” 威 胁 感 知 系 统 再 次 监 控 到 威 胁 感 知 系 统 再 次 监 控 到 “ 暗 流 暗 流 ” 家 族 新 变 种 的 活 动 痕 家 族 新 变 种 的 活 动 痕 迹 。 迹 。 通 过 溯 源 分 析 ， 我 们 发 现 本 次 “ 暗 流 Ⅱ ” 家 族 通 过 多 玩 公 司 旗 下 的 “ 游 戏 盒 子 ” 客 户 端 升 级 渠 道 进 行 传 播 感 染 ， 其 启 动 宿 主 进 程 的 数 字 签 名 为 “ 广 州 玩 盒 科 技 有 限 公 司 ” 。 “ 游 戏 盒 子 ” 作 为 该 公 司 旗 下 知 名 的 游 戏 辅 助 软 件 ， 包 含 “ 英 雄 联 盟 盒 子 ” 、 “ D N F 盒 子 ” 、 “ 坦 克 世 界 盒 子 ” 等 多 款 辅 助 客 户 端 ， 从 监 控 数 据 看 无 一 幸 免 ， 所 有 产 品 升 级 渠 道 均 被 植 入 “ 暗 流 Ⅱ ” 木 马 家 族 。 除 升 级 渠 道 和 数 字 签 名 等 强 关 联 证 据 外 ， 暂 时 未 发 现 “ 暗 流 Ⅱ ” 木 马 家 族 与 “ 多 玩 游 戏 ” 存 在 直 接 操 纵 和 利 益 关 联 的 线 索 ， 本 次 病 毒 传 播 事 件 究 竟 是 厂 商 内 部 操 作 还 是 外 部 黑 产 攻 击 尚 无 法 给 出 定 论 ， 因 此 我 们 将 本 次 安 全 事 件 暂 定 性 为 “ 疑 似 软 件 供 应 链 攻 击 ” 。 从 我 们 “ 捕 风 ” 系 统 的 回 溯 数 据 看 ， 本 次 “ 暗 流 Ⅱ ” 病 毒 传 播 活 动 最 早 于 2 0 1 9 年 1 月 1 7 号 开 始 小 范 围 测 试 ， 随 后 扩 展 到 各 游 戏 盒 子 客 户 端 升 级 通 道 ， 影 响 范 围 迅 速 扩 大 ， 预 估 全 网 感 染 用 户 在 百 万 级 别 。 本 次 “ 暗 流 Ⅱ ” 病 毒 传 播 活 动 作 为 春 节 后 监 控 到 的 首 例 高 危 安 全 事 件 ， 我 们 已 第 一 时 间 启 动 安 全 应 急 处 置 流 程 ， 目 前 正 在 与 厂 商 积 极 联 系 以 通 报 相 关 细 节 ， 更 多 结 论 请 等 待 “ 多 玩 游 戏 ” 官 方 调 查 回 复 。 二 、 技 术 分 析 二 、 技 术 分 析 安 全 豹 安 全 豹   . 专 注 网 络 安 全 ， 分 享 更 多 优 质 文 章 。
1 .   升 级 渠 道 污 染 升 级 渠 道 污 染 本 次 “ 暗 流 Ⅱ ” 暗 刷 木 马 家 族 的 母 体 通 过 “ 多 玩 ” 旗 下 游 戏 盒 子 客 户 端 升 级 下 发 安 装 ， 从 数 据 包 监 控 分 析 看 ， 服 务 端 的 升 级 配 置 文 件 均 被 污 染 注 入 ， 核 心 模 块 为 “ U p d a t e S e r v e r . e x e ” ， 运 行 后 注 册 为 系 统 服 务 启 动 项 ， 负 责 后 续 云 控 模 块 的 加 载 ； 另 外 空 壳 程 序 “ N o t i f y . e x e ” 用 于 作 为 被 注 入 暗 刷 模 块 的 宿 主 进 程 。 以 上 文 件 的 数 字 签 名 均 为 多 玩 游 戏 “ 广 州 玩 盒 科 技 有 限 公 司 ” 。 2 .   启 动 云 控 插 件 启 动 云 控 插 件 核 心 模 块 “ U p d a t e S e r v e r . e x e ” 自 注 册 为 系 统 服 务 启 动 后 ， 首 先 对 当 前 系 统 环 境 进 行 检 查 ， 防 止 虚 拟 机 运 行 、 抓 包 检 测 或 调 试 分 析 。 随 后 检 测 更 新 目 录 下 的 核 心 文 件 ： ” U p D a t a . d b ”   、 ” N o t i f y . e x e ” 、 ” i n f o . d b ” 。 解 密 ( R C 4 + Z L i b ) 其 中 的 “ U p D a t a . d b ” 模 块 并 通 过 内 存 加 载 ， 调 用 其 导 出 函 数 “ u p d a t e _ i n i t ” 。
“ U p D a t a . d b ” 模 块 解 压 出 的 模 块 原 始 文 件 名 为 “ c o m m o n . d l l ” , 作 为 “ 暗 流 Ⅱ ” 变 种 的 核 心 云 控 模 块 ， 开 启 循 环 线 程 ， 负 责 进 行 环 境 检 测 、 云 控 请 求 以 及 工 作 插 件 L o a d e r 的 注 入 启 动 等 工 作 ， 其 中 云 控 请 求 包 主 要 包 括 两 类 ， 一 类 是 更 新 云 控 服 务 器 信 息 ， 另 一 类 是 获 取 插 件 运 行 参 数 信 息 ， 例 如 暗 刷 U R L 配 置 等 。 工 作 插 件 L o a d e r 就 是 “ i n f o . d b ” 文 件 ， 它 解 密 后 被 注 入 到 挂 起 创 建 的 空 壳 进 程 “ N o t i f y . e x e ” 中 ， 通 过 命 令 行 参 数 传 递 父 进 程 中 配 置 信 息 的 内 存 地 址 ， 方 便 后 续 插 件 读 取 解 析 。
3 .   启 动 暗 刷 插 件 启 动 暗 刷 插 件 “ i n f o . d b ” 工 作 插 件 l o a d e r 被 注 入 执 行 以 后 ， 首 先 通 过 命 令 行 参 数 获 取 父 进 程 内 存 中 保 存 的 参 数 配 置 信 息 ， 校 验 完 毕 后 开 启 工 作 线 程 ， 联 网 更 新 获 取 真 正 的 功 能 插 件 并 进 行 内 存 反 射 加 载 ， 插 件 模 块 内 容 被 加 密 缓 存 到 “ u s e r . d b ” 文 件 中 。 暗 刷 插 件 的 功 能 导 出 接 口 为 “ F u n c A ” 与 “ F u n c B ” ， 其 中 “ F u n c A ” 负 责 解 密 参 数 X M L 配 置 信 息 ， “ F u n c B ” 根 据 参 数 配 置 执 行 暗 刷 任 务 。 插 件 暗 刷 功 能 支 持 比 较 完 善 ， 灵 活 性 较 高 ， 与 之 前 “ 暗 流 ” 家 族 报 告 中 披 露 的 插 件 代 码 基 本 一 致 ， 并 且 加 强 了 针 对 安 全 软 件 、 流 量 监 控 、 游 戏 等 进 程 检 测 规 避 策 略 。 暗 刷 攻 击 目 标 网 站 也 非 常 繁 杂 ， 涉 及 视 频 、 汽 车 、 美 妆 、 电 商 、 新 闻 、 移 动 等 多 个 类 型 厂 商 ， 可 参 考 之 前 的 披 露 报 告 ， 本 篇 不 再 赘 述 。
  三 、 三 、 I O C 附 录 附 录 H A S H : 6 A 6 7 0 8 B 0 B 3 2 8 E 8 3 C 7 5 4 7 5 8 1 3 0 3 1 B E C 8 5 C B 4 3 1 2 8 2 5 F A D 0 6 B 6 9 3 D C 9 9 E F A 5 1 2 0 0 C 7 7 9 9 1 C 6 3 4 8 D 0 9 4 F 6 D D 1 3 1 B F 1 6 C C 2 F E C 5 2 4 1 3 9 0 7 2 3 7 A 6 4 8 0 B D 3 5 9 0 E A 5 1 6 0 0 2 B 9 F A B E 0 2 9 A F 5 3 2 6 3 6 3 5 9 D B 9 7 A 2 4 1 1 6 C B 8 5 E 5 C & C : d a t a . 3 5 1 5 w . c o m t t . w e 2 0 2 1 . c o m g g . w e 2 0 2 1 . c o m 2 1 1 . 1 1 0 . 6 6 . 1 0 6 * 本 文 作 者 ： 安 全 豹 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理