搜索

[14885] 2019-12-01_披露报告：流氓家族窃取用户浏览隐私活动

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-12-01_披露报告：流氓家族窃取用户浏览隐私活动 披 露 报 告 ： 流 氓 家 族 窃 取 用 户 浏 览 隐 私 活 动 F r e e B u f   2 0 1 9 - 1 2 - 0 1 以 下 文 章 来 源 于 安 全 豹   ， 作 者 w j 一 、 概 述 一 、 概 述 近 期 毒 霸 安 全 团 队 通 过 “ 捕 风 ” 威 胁 感 知 系 统 监 控 到 一 起 大 规 模 窃 取 用 户 浏 览 器 隐 私 的 流 氓 病 毒 活 动 ， 源 头 为 “ 上 海 * * 网 络 科 技 有 限 公 司 ” 旗 下 的 “ * * 看 看 ” 软 件 ， 除 了 收 集 主 流 浏 览 器 的 历 史 访 问 记 录 外 ， 还 会 定 向 收 集 “ m * * v . c o m ” 的 c o o k i e s 上 报 ， 推 测 属 于 第 三 方 广 告 营 销 平 台 合 作 行 为 ， 可 能 被 用 于 广 告 营 销 商 业 效 果 评 估 等 用 途 。 安 全 豹 安 全 豹   . 专 注 网 络 安 全 ， 分 享 更 多 优 质 文 章 。
通 过 深 入 溯 源 关 联 分 析 ， 我 们 还 发 现 用 于 推 送 浏 览 器 隐 私 收 集 插 件 的 L U A 云 控 模 块 “ L u a R t l . d l l ” 还 广 泛 存 在 于 “ 快 * ” 、 “ 小 * 记 事 本 ” 、 “ 小 * 便 签 ” 、 “ 风 * p d f   ” 、 “ 麦 * 助 手 ” 、 “ A * * 看 图 ” 、 “ 光 * 搜 索 ” 、 “ 7 * * 浏 览 器 ” 、 “ 小 * 壁 纸 ” 等 数 十 款 软 件 中 。 除 此 之 外 ， 我 们 还 发 现 多 类 涉 及 用 户 隐 私 收 集 或 劫 持 的 病 毒 插 件 模 块 ， 包 括 “ h t k k i n f o r e p o r t _ d l l . d l l ” 、 “ U r l R e p o r t _ d l l . d l l ” 、 “ B r o w s e r L i n k . d l l ” 等 。 从 我 们 的 长 期 监 控 来 看 ， 上 述 软 件 的 云 控 机 制 也 在 不 断 迭 代 升 级 ， 加 强 对 抗 监 控 分 析 能 力 ， 在 技 术 上 强 调 灵 活 性 和 隐 蔽 性 ， 攻 击 过 程 文 件 不 落 地 ， 恶 意 模 块 通 过 L U A 脚 本 引 擎 、 S h e l l c o d e 注 入 以 及 D L L 反 射 装 载 等 “ 无 文 件 ” 技 术 手 段 下 放 执 行 ， 配 合 环 境 规 避 、 代 码 混 淆 、 反 调 试 等 灵 活 对 抗 机 制 ， 给 传 统 安 全 软 件 的 监 控 检 测 也 带 来 一 定 的 困 扰 。 上 述 软 件 大 多 有 正 常 软 件 功 能 包 装 ， 安 装 活 跃 用 户 较 多 ， 如 此 大 规 模 的 隐 私 窃 取 活 动 在 业 内 也 比 较 罕 见 。 浏 览 器 访 问 历 史 、 C o o k i e s 对 于 用 户 来 说 不 仅 是 非 常 重 要 的 个 人 隐 私 ， 更 是 账 号 身 份 安 全 认 证 信 息 ， 这 样 重 要 的 个 人 信 息 被 不 法 软 件 大 规 模 收 集 ， 被 用 于 “ 大 数 据 ” 分 析 对 用 户 进 行   “ 精 准 画 像 ” ， 包 括 “ 定 制 信 息 推 送 ” 、 “ 精 准 广 告 投 放 ” 、 “ 用 户 行 为 预 测 ” 、 “ 转 化 分 析 ” 、 “ 反 作 弊 分 析 ” 等 等 商 业 用 途 。 “ 技 术 无 罪 ” 的 论 调 下 ， 黑 与 白 的 界 限 似 乎 变 得 模 糊 ， 一 方 面 是 用 户 和 信 息 之 间 更 快 速 高 效 的 匹 配 ， 商 家 降 低 获 客 成 本 ； 但 是 另 一 方 面 是 个 人 隐 私 无 限 制 的 泄 露 ， 随 之 而 来 的 各 种 广 告 骚 扰 和 安 全 隐 患 。 无 论 如 何 用 户 对 于 自 身 隐 私 被 收 集 利 用 应 该 具 备 知 情 权 ， 所 以 我 们 决 定 披 露 这 一 起 针 对 用 户 浏 览 器 隐 私 进 行 收 集 窃 取 的 流 氓 病 毒 活 动 。 云 控 模 块 推 送 隐 私 收 集 插 件 的 主 要 流 程 如 下 ：
二 、 技 术 分 析 二 、 技 术 分 析 由 于 涉 及 产 品 众 多 ， 本 文 以 好 看 看 为 例 进 行 分 析 ， 好 看 看 主 进 程 H a o * * K a n K a n . e x e 会 启 动 当 前 目 录 下 的 v i e w u c . e x e ， 传 入 加 密 参 数 执 行 ， 经 过 解 密 后 的 参 数 如 下 ： 首 先 读 取 当 前 目 录 下 的 h a o * * u c . j p g 图 片 ， 看 似 正 常 的 图 片 但 末 尾 被 附 加 了 加 密 的 P E 文 件 ， 解 开 后 为 u p d a t e c h e c k e r _ d l l . d l l ， 该 模 块 被 内 存 加 载 后 调 用 导 出 函 数 E n t e y P o i n t 传 入 解 密 后 的 参 数 执 行 。 其 另 外 两 张 同 样 也 是 隐 藏 P E 文 件 分 别 为 R e p o r t _ d l l . d l l 和 U p d a t e _ d l l . d l l ：
进 入 u p d a t e c h e c k e r _ d l l 模 块 后 会 对 命 令 行 参 数 进 行 解 析 后 对 指 定 的 模 块 进 行 加 载 ， 这 些 模 块 都 被 加 密 被 存 放 在 了 注 册 表 中 ， 在 安 装 时 被 就 下 载 存 入 ， 此 公 司 旗 下 产 品 也 都 是 以 此 种 方 式 存 放 功 能 模 块 于 注 册 表 中 。 u p d a t e c h e c k e r 对 应 于 注 册 表 项 ， m i n i n e w s   和 l o g o 为 需 要 加 载 的 模 块 ， l o g o u c 为 L u a 脚 本 。 其 中 l o g o 是 L u a 扩 展 模 块 ， L u a 脚 本 中 的 相 关 接 口 实 现 需 要 该 模 块 支 持 。 在 加 载 模 块 前 会 先 查 询 云 端 M D 5 值 与 本 地 数 据 M D 5 进 行 对 比 ， 不 相 同 则 下 载 最 新 文 件 存 入 。 以 l o g o 模 块 为 例 首 先 访 问 [ h t t p ] : / / i . h a o * * k a n k a n . c o m / l o g o / v 1 . 0 . 0 . 2 / s u p e r . g i f . M D 5 获 取 该 模 块 M D 5 值 ， 不 相 同 再 访 问 [ h t t p ] : / / i . h a o * * u k a n k a n . c o m / l o g o / v 1 . 0 . 0 . 2 / s u p e r . g i f 进 行 下 载 。 L o g o 解 密 后 为 L u a 脚 本 扩 展 模 块 L u a R t l . d l l . d l l ， 对 应 执 行 的 脚 本 为 l o g o u c ：
在 进 行 上 述 模 块 解 密 前 还 会 进 行 调 试 器 攻 击 ， 先 调 用 B l o c k I n p u t 函 数 让 鼠 标 和 键 盘 失 灵 ， 再 通 过 P E B 中 的 B e i n g D e b u g g e d 调 试 标 志 位 检 测 是 否 在 调 试 ， 如 果 正 在 调 试 则 去 桌 面 寻 找 f u c k . d e b u g 文 件 ， 不 存 在 直 接 返 回 不 恢 复 键 盘 和 鼠 标 输 入 ， 造 成 调 试 器 和 整 个 桌 面 卡 死 的 假 象 ： 进 入 解 密 及 模 块 加 载 功 能 的 函 数 时 ， 其 函 数 头 部 代 码 已 经 被 混 淆 处 理 ：
通 过 混 淆 代 码 后 会 解 密 出 L u a 脚 本 和 L u a 扩 展 模 块 ， 对 L u a 扩 展 模 块 进 行 内 存 加 载 ， 同 时 载 入 已 编 译 的 l u a 脚 本 ， 后 期 工 作 逻 辑 交 给 L u a 脚 本 处 理 。 对 L u a 脚 本 还 原 后 其 执 行 逻 辑 是 在 m a i n 函 数 中 执 行 完 弹 窗 后 ， 会 调 用 e x e c u t e _ u r l r e p o r t 函 数 进 行 u r l 和 c o o k i e 收 集 ， 该 函 数 进 行 参 数 封 装 后 调 用 接 口 函 数 i n v o k e _ e x e _ i n j e c t ， 此 函 数 在 L u a R t l . d l l 中 实 现 。 在 L u a R t l . d l 中 根 据 传 入 的 参 数 ， 解 密 出 注 册 表 中 的 隐 私 收 集 模 块 l o g o _ U r l R e p o r t   ( h t k k i n f o r e p o r t _ d l l . d l l ) ， 同 时 挂 起 创 建 傀 儡 进 程 E 3 2 0 . T M P . e x e   注 入 s h e l l c o d e 和 h t k k i n f o r e p o r t _ d l l . d l l 模 块 ， 创 建 远 程 线 程 执 行 s h e l l c o d e ， 由 s h e l l c o d e 内 存 加 载 起 h t k k i n f o r e p o r t _ d l l . d l l 并 调 用 导 出 函 数 e 开 始 工 作 ：
在 h t k k i n f o r e p o r t _ d l l . d l l 模 块 中 ， 首 先 获 取 用 户 硬 件 信 息 计 算 出 唯 一 的 U I D 标 识 用 户 ， 再 判 断 使 用 该 模 块 的 是 旗 下 哪 款 产 品 ， 通 过 解 密 出 字 符 串 访 问 相 应 的 注 册 表 键 值 获 取 安 装 数 据 上 报 。 获 取 浏 览 器 历 史 记 录 包 括 了 市 面 上 的 绝 大 部 分 浏 览 器 ： c h r o m e ， 2 3 4 5 ， 3 6 0 c h r o m e ， 3 6 0 s a f e ， 世 界 之 窗 ， l i e b a o ， o p e r a ， q q ， u c ， I E ， M o z i l l a ， s o g o u 。 以 c h r o m e 浏 览 器 为 例 ， 历 史 记 录 都 是 以 S q l i t e 数 据 库 存 储 的 ， 先 复 制 一 份 数 据 到 临 时 目 录 ， 通 过 S q l i t e 3 库 打 开 数 据 库 执 行 S Q L 语 句 进 行 查 询 ， 在 查 询 前 会 获 取 上 一 次 的 时 间 戳 ， 获 取 此 时 间 戳 以 后 的 新 内 容 。 为 了 直 观 展 示 以 数 据 库 查 询 工 具 做 演 示 执 行 s q l 语 句 ：
这 些 数 据 最 终 会 被 封 装 成 j s o n 格 式 加 密 后 通 l i b c u r l 库 发 送 到 服 务 器 h t t p : / / h k k i n f o r e p o r t . * * i n g z a o . c o m / 1 2 . g i f ：
浏 览 器 的 C o o k i e 与 历 史 记 录 相 似 也 是 S q l i t e 数 据 库 ， 同 样 复 制 到 临 时 目 录 ， 打 开 C o o k i e 数 据 库 进 行 查 询 操 作 。 与 查 询 历 史 记 录 不 同 的 是 ， C o o k i e 定 向 收 集 所 有 包 含 m * * v . c o m 域 名 的 c o o k i e 。
C o o k i e 值 在 数 据 库 是 加 密 存 放 在 e n c r y p t e d _ v a l u e 字 段 中 的 ， 但 是 加 密 是 基 于 本 地 账 户 登 录 凭 证 的 所 以 解 密 需 要 在 本 地 进 行 ， 通 过 调 用 A P I   C r y p t U n p r o t e c t D a t a 进 行 解 密 并 发 送 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理