搜索

[15402] 2020-05-22_LokiBot间谍木马再升级，窃取iOS应用信息

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2020-05-22_LokiBot间谍木马再升级，窃取iOS应用信息 L o k i B o t 间 谍 木 马 再 升 级 ， 窃 取 i O S 应 用 信 息 亚 信 安 全   F r e e B u f   2 0 2 0 - 0 5 - 2 2 近 日 亚 信 安 全 截 获 了 近 日 亚 信 安 全 截 获 了 L o k i B o t 间 谍 木 马 最 新 变 种 ， 间 谍 木 马 最 新 变 种 ， L o k i B o t 是 一 款 著 名 的 间 谍 木 马 ， 其 通 过 垃 圾 邮 件 传 播 ， 窃 取 是 一 款 著 名 的 间 谍 木 马 ， 其 通 过 垃 圾 邮 件 传 播 ， 窃 取 用 户 敏 感 数 据 ， 包 括 浏 览 器 、 电 子 邮 箱 、 用 户 敏 感 数 据 ， 包 括 浏 览 器 、 电 子 邮 箱 、 f t p 、 、 s f t p 密 码 及 凭 证 。 本 次 截 获 的 密 码 及 凭 证 。 本 次 截 获 的 L o k i B o t 变 种 与 之 前 版 本 不 同 的 是 ， 变 种 与 之 前 版 本 不 同 的 是 ， 其 还 会 窃 取 其 还 会 窃 取 W i n d o w s 上 支 持 的 上 支 持 的 I O S 应 用 信 息 。 亚 信 安 全 将 其 命 名 为 ： 应 用 信 息 。 亚 信 安 全 将 其 命 名 为 ： T S P Y _ L O K I . S M A 。 。 攻 击 流 程 攻 击 流 程 病 毒 详 细 分 析 病 毒 详 细 分 析 脱 壳 后 ， 我 们 发 现 该 病 毒 是 V C + + 编 写 ： 其 代 码 中 存 在 大 量 花 指 令 ， p a y l o a d 在 以 下 地 址 中 ： 病 毒 首 先 检 查 W S A 是 否 启 动 ， 为 s o c k e t 做 准 备 ：
进 入 第 一 个 p a y l o a d ， 其 主 要 功 能 是 遍 历 计 算 机 中 的 所 有 应 用 ， 根 据 相 应 的 应 用 程 序 ， 到 默 认 指 定 目 录 窃 取 用 户 的 信 息 。 该 病 毒 不 仅 识 别 包 含 了 W i n d o w s 常 用 的 浏 览 器 ， 还 会 窃 取 I O S 应 用 信 息 ： 识 别 F T P 软 件 ： 识 别 邮 箱 应 用 ： 窃 取 以 上 应 用 的 相 应 文 件 和 里 面 的 信 息 ：
（ 1 ） 窃 取 浏 览 器 密 码 ， 以 本 机 所 安 装 的 火 狐 浏 览 器 为 例 ： 先 判 断 机 器 中 的 浏 览 器 版 本 ， 定 位 浏 览 器 的 位 置 ， 窃 取 密 码 ： 窃 取 信 息 步 骤 ： 读 取 p r o f i l e s . i n i 文 件 ： 读 取 登 录 信 息 ： 读 取 密 码 的 主 要 步 骤 是 从 内 部 k e y 槽 ， 对 s l o t 进 行 鉴 权 ， 随 后 破 译 密 码 ：
（ 2 ） 窃 取 I O S 应 用 密 码 ， 首 先 会 读 取 p l u t i l . e x e 文 件 ， 该 软 件 用 于 W i n d o w s 支 持 I O S 应 用 ， 从 k e y c h a i n . p l i s t 中 窃 取 用 户 账 号 密 码 ， 最 后 转 换 格 式 保 存 在 数 组 或 者 字 典 中 ， 等 待 发 送 ： （ 3 ） 针 对 e m a i l 所 窃 取 的 信 息 如 下 图 ： 窃 取 数 据 后 ， 病 毒 会 删 除 自 身 ， 并 把 自 己 备 份 到 临 时 文 件 目 录 下 ， 重 命 名 为 B 3 A B 2 9 . e x e ：
建 立 s o c k e t   ， 外 联 远 程 服 务 器 h t t p : / / n o n i w i r e 8 . b e g e t . t e c h / B r o k e n s k u l l / f r e . p h p ： 该 域 名 为 动 态 域 名 ： 病 毒 停 止 系 统 l s a s s . e x e 进 程 中 保 护 敏 感 信 息 的 p r o t e c t e d _ s t o r a g e 服 务 ：
读 取 内 存 中 所 有 信 息 ， 发 送 数 据 ： 解 决 方 案 解 决 方 案 不 要 点 击 来 源 不 明 的 邮 件 以 及 附 件 ； 不 要 点 击 来 源 不 明 的 邮 件 中 包 含 的 链 接 ； 请 到 正 规 网 站 下 载 程 序 ； 采 用 高 强 度 的 密 码 ， 避 免 使 用 弱 口 令 密 码 ， 并 定 期 更 换 密 码 ； 打 开 系 统 自 动 更 新 ， 并 检 测 更 新 进 行 安 装 ； I O C S H A - 1 ： C 9 2 2 9 6 1 1 3 4 2 3 5 A A E 9 D C B 0 6 B 3 0 4 9 5 1 5 6 2 * * 6 0 2 F F 2 U R L ： h t t p : / / n o n i w i r e 8 . b e g e t . t e c h / B r o k e n s k u l l / f r e . p h p * 本 文 作 者 ： 亚 信 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 亚 信 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理