搜索

[15955] 2020-10-11_黄雀行动：针对东南亚菠菜行业的新一轮钓鱼攻击

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2020-10-11_黄雀行动：针对东南亚菠菜行业的新一轮钓鱼攻击 黄 雀 行 动 ： 针 对 东 南 亚 菠 菜 行 业 的 新 一 轮 钓 鱼 攻 击 F r e e B u f   2 0 2 0 - 1 0 - 1 1 以 下 文 章 来 源 于 安 全 豹   ， 作 者 G O N N A 概 述 概 述 从 今 年 6 月 底 开 始 ， 毒 霸 安 全 团 队 通 过 “ 捕 风 ” 系 统 陆 续 捕 获 一 批 针 对 东 南 亚 地 区 从 事 博   彩 、 狗 推 相 关 华 人 的 远 控 木 马 病 毒 。 受 害 者 I P 主 要 聚 集 在 老 挝 、 柬 埔 寨 、 菲 律 宾 等 博   彩 黑 产 活 动 泛 滥 的 地 区 ， 黑 客 团 伙 采 用 的 诱 饵 大 多 伪 装 为 文 档 文 件 ， 文 件 名 主 要 为 ” 公 司 规 章 制 度 ” 、 ” 风 控 事 项 ” 、 ” V I P 用 户 资 料 ” 等 博   彩 行 业 紧 密 相 关 的 诱 导 词 语 ， 从 我 们 的 监 控 数 据 看 ， 这 一 批 样 本 主 要 通 过 钓 鱼 邮 件 、 t e l e g r a m 黑 产 群 等 渠 道 进 行 定 向 传 播 ， 通 过 植 入 远 控 木 马 针 对 目 标 博   彩 公 司 进 行 持 续 监 控 渗 透 ， 收 集 内 部 用 户 数 据 或 实 现 资 金 窃 取 。 在 技 术 特 点 上 ， 主 要 表 现 为 组 合 “ D L L 侧 加 载 ( 白 加 黑 ) ” 技 术 和 定 制 化 g h 0 s t 远 控 木 马 ， 从 整 个 攻 击 链 路 熟 练 程 度 来 看 ， 该 团 伙 已 经 逐 渐 展 现 出 一 定 的 专 业 技 术 成 熟 度 。 越 暴 利 的 地 下 黑 产 行 业 越 缺 乏 秩 序 约 束 ， 恶 性 竞 争 越 激 烈 ， 其 催 生 出 的 ” 黑 吃 黑 ” 套 路 越 花 样 百 出 。 近 些 年 来 ， 随 着 国 家 对 赌 博 黑 产 的 持 续 打 击 ， 越 来 越 多 的 不 法 分 子 开 始 转 战 东 南 亚 ， 企 图 通 过 开 设 境 外 线 上   赌   场 逃 避 国 内 法 律 制 裁 ， 不 曾 想 黑 手 的 背 后 还 有 多 双 黑 手 ， 正 所 谓 “ 螳 螂 捕 蝉 ， 黄 雀 在 后 ” ， 我 们 将 此 次 发 现 针 对 东 南 亚 博   彩 从 业 人 员 的 攻 击 行 动 命 名 为 ” 黄 雀 行 动 ” 。 溯 源 分 析 溯 源 分 析 在 针 对 该 团 伙 的 溯 源 过 程 中 ， 我 们 发 现 其 攻 击 目 标 、 技 术 手 法 上 和 安 全 友 商 披 露 的 ” 金 眼 狗 ” 、 ” 金 指 狗 ” 等 针 对 博   彩 行 业 的 黑 客 团 伙 存 在 较 高 的 重 合 度 ， 但 在 C & C 和 代 码 复 用 等 强 关 联 特 征 上 暂 未 发 现 直 接 关 联 。 关 联 特 征 关 联 特 征 诱 饵 名 称 如 下 图 所 示 ： 时 间 时 间 诱 饵 名 称 诱 饵 名 称 2 0 2 0 / 9 / 3 商 户 开 户 资 料 t x t 5 6 0 2 5 . e x e 2 0 2 0 / 9 / 2 管 理 制 度 . e x e 2 0 2 0 / 9 / 1 公 司 薪 资 调 整 方 案 . e x e 2 0 2 0 / 8 / 2 7 公 司   新 规 章 制 度 . c o m 2 0 2 0 / 8 / 2 7 最 新 支 付 风 控 提 示 注 意 事 项 . c o m 2 0 2 0 / 8 / 2 2 违 规 会 员 列 表 . e x e 2 0 2 0 / 8 / 1 5 V   I   P   会 员 表 l . c o m 2 0 2 0 / 8 / 1 2 维 护 通 知 请 注 意 下 发 . b a t 2 0 2 0 / 8 / 8 x 项 . c o m 2 0 2 0 / 8 / 4 9 .   V I P   资 料 表 . . c o m 2 0 2 0 / 7 / 2 9 1 .   【 出 账 目 录 】 . c o m 2 0 2 0 / 7 / 2 5 最 新 风 控 事 项 B O - 2 0 2 0 - 0 7 - 1 4 . c o m 此 木 马 多 次 进 行 模 块 嵌 套 加 载 ， 并 同 时 在 用 户 名 为 “ h y t l ” 的 “ 永 硕 云 盘 ” 上 下 载 相 关 伪 装 的 J P G 文 件 。 一 些 诱 饵 文 件 还 会 释 放 迷 惑 性 极 强 的 相 关 文 件 ， 以 掩 盖 其 已 经 在 后 台 植 入 恶 意 远 控 的 事 实 。 释 放 的 相 关 文 件 如 下 图 所 示 ： 安 全 豹 安 全 豹   . 专 注 网 络 安 全 ， 分 享 更 多 优 质 文 章 。
此 类 样 本 涉 及 多 个 公 司 的 白 文 件 以 及 侧 加 载 的 d l l 如 下 图 所 示 ： 公 司 名 称 公 司 名 称 白 白 黑 黑 S h a n d o n g   A n z a i   I n f o r m a t i o n   T e c h n o l o g y   C O . , L t d . N s e c . e x e N F P C o r e . d l l 厦 门 多 帆 网 络 科 技 有 限 公 司 D i n g D e b u g . e x e w k e . d l l 上 海 幻 电 信 息 科 技 有 限 公 司 D i n g D e b u g . e x e b i l i l i v e . d l l 木 马 病 毒 所 使 用 的 p d b 信 息 总 结 如 下 ： p d b 信 息 信 息 C : c o l l e c t o r R e l e a s e c o l l e c t o r . p d b F : Y K K K K B F J C 6 - 1 7 D D M C 2 1 - 内 存 加 载 下 载 T T R e l e a s e 下 载 . p d b F : Y K K K K B F J C 6 - 1 7 D D M C 2 1 - 内 存 加 载 下 载 x 6 4 R e l e a s e 下 载 . p d b D : A d m i n i s t r a t o r D e s k t o p 网 易 C C c o l l e c t o r R e l e a s e c o l l e c t o r . p d b D : D o c u m e n t   A n d   S e t t i n g s 2 A d m i n i s t r a t o r c o l l e c t o r x 6 4 R e l e a s e c o l l e c t o r . p d b 正 正 文 文 目 前 该 木 马 活 跃 ， 从 七 月 底 直 到 现 在 ， 其 存 在 “ 永 硕 云 盘 ” 的 伪 装 J P G 文 件 仍 旧 频 繁 更 新 ， 以 躲 避 杀 软 查 杀 ； 同 时 每 几 天 便 会 有 新 的 母 体 病 毒 出 现 ， 而 且 其 反 查 杀 能 力 也 在 进 化 中 ， 释 放 的 一 些 文 件 也 增 加 了 压 缩 功 能 ， 增 加 了 安 全 人 员 分
析 的 难 度 。 下 面 以 “ 公 司 薪 资 调 整 方 案 . e x e ” 为 例 ， 分 析 该 病 毒 的 主 要 执 行 过 程 。 主 要 执 行 流 程 分 为 三 部 分 ： 母 体 程 序 执 行 过 程 、 d l l 侧 加 载 过 程 、 C & C 远 控 模 块 运 行 过 程 。 执 行 流 程 如 下 ： 一 、 母 体 程 序 执 行 流 程 一 、 母 体 程 序 执 行 流 程 母 体 主 要 通 过 从 数 据 段 释 放 d l l ， 加 载 到 内 存 之 后 ， 紧 接 着 联 网 下 载 “ 永 硕 云 盘 ” 的 伪 装 J P G 。 之 后 将 此 伪 装 J P G 文 件 解 压 到 C : U s e r s P u b l i c D o c u m e n t s ” 随 机 字 符 串 ” 文 件 夹 中 ， 解 压 密 码 为 “ z x s 8 8 6 6 ” ， 此 密 码 明 文 出 现 。 母 体 释 放 出 N S e c . e x e ( 白 ) 、 N F P C o r e . d l l ( 黑 ) 、 z r . e x e ( 7 z i p ) ， 同 时 再 次 释 放 K K . t x t 到 此 文 件 夹 中 ， K K . t x t 在 以 后 程 序 的 运 行 中 是 远 控 模 块 的 载 体 。
最 后 创 建 一 连 串 l i n k ， 这 些 l i n k 通 过 属 性 值 相 关 联 。 这 些 文 件 的 主 要 功 能 为 ： 首 先 启 动 N s e c . e x e ； 紧 接 着 通 过 运 行 r u n . p s 1 （ 一 连 串 u r l 关 联 ， 最 终 使 用 z r . e x e 进 行 压 缩 ） 将 原 本 路 径 C : U s e r s P u b l i c D o c u m e n t s ” 随 机 字 符 串 ” M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p N S e c . l i n k 压 缩 为 1 1 1 . z i p ， 并 保 存 在 C : P r o g r a m D a t a M i c r o s o f t 文 件 中 ， 以 便 之 后 通 过 远 控 交 互 进 行 修 改 文 件 ， 从 而 使 木 马 持 久 化 ； 最 后 删 除 掉 H 3 F 1 1 文 件 夹 ， “ 消 灭 罪 证 ” ， 使 病 毒 更 加 隐 蔽 。 至 此 ， 母 体 程 序 运 行 结 束 。 二 、 二 、 d l l 侧 加 载 过 程 侧 加 载 过 程 N S e c . e x e 侧 加 载 N F P C o r e . d l l 文 件 ， 通 过 对 母 体 释 放 的 k k . t x t 进 行 解 密 、 解 压 缩 ， 并 加 载 到 内 存 。
三 、 三 、 C & C 远 控 模 块 执 行 远 控 模 块 执 行 远 控 模 块 首 先 将 进 程 优 先 级 设 置 为 最 高 ， 接 着 与 服 务 器 v i p . b z s s t w . c n 连 接 并 解 析 指 令 。 在 早 期 的 一 些 病 毒 样 本 中 ， 母 体 释 放 了 k k . l o g ， 而 不 是 k k . t x t ， 其 在 初 始 化 中 创 建 批 处 理 程 序 保 证 当 前 木 马 程 序 一 直 处 于 运 行 当 中 。
无 论 是 使 用 k k . t x t 或 者 是 k k . l o g ， 该 木 马 其 对 命 令 解 析 的 核 心 部 分 一 模 一 样 ， 均 是 远 控 软 件 g h 0 s t 的 定 制 版 。 下 图 为 解 析 命 令 函 数 ： 其 中 ， 当 解 析 命 令 为 某 种 特 定 命 令 时 ， 需 要 首 先 将 k k . t x t 中 数 据 段 中 的 特 定 数 据 （ 插 件 ） 通 过 解 密 加 载 到 内 存 中 ， 同 时 在 本 地 保 存 为 p l u g i n 3 2 . l o g 。 释 放 插 件 之 后 ， 对 一 些 特 定 指 令 进 行 解 析 。 指 令 解 析 如 下 ： 接 收 指 令 接 收 指 令 使 用 插 件 中 的 函 数 使 用 插 件 中 的 函 数 操 作 操 作 0 x 1 D l l F i l e 获 取 各 个 磁 盘 容 量 0 x 4 0 x a 2 修 改 使 用 的 插 件 0 x 8 更 改 窗 口 管 理 器 以 能 够 控 制 窗 口 0 x 9 提 权 以 管 理 员 模 式 运 行 此 程 序 0 x A 关 闭 e x p o r e r . e x e 进 程 0 x B 删 除 用 户 c h r o m e   u s r d a t a 数 据 0 x C f n p r o x y 使 用 代 理 0 x 1 5 D l l s c r e e n 截 取 屏 幕 0 x 2 4 监 控 键 盘 输 入 0 x 2 A D l l S y s t e 获 取 进 程 以 及 模 块 信 息 0 x 3 6 D l l M s g B o x 弹 窗 报 错 0 x 3 7 修 改 分 组 0 x 3 8 D l l S h e l l 创 建 远 程 控 制 c m d 0 x 3 9 关 闭 指 定 窗 口 0 x 3 A 删 除 相 关 文 件 0 x 3 B 清 除 日 志 0 x 3 C 获 取 主 机 信 息 0 x 3 e 从 网 络 上 下 载 可 执 行 文 件 ， 并 执 行 0 x 3 f 运 行 云 控 下 发 数 据 0 x 4 0 运 行 云 控 下 发 数 据 ， 同 上 0 x 4 1 更 新 插 件 0 x 4 2 D l l O p e n U r l H i d e 隐 藏 打 开 I E 浏 览 器 0 x 4 3 D l l O p e n U r l S h o w 显 式 打 开 I E 浏 览 器
0 x 4 4 修 改 域 名 0 x 4 5 等 待 事 件 运 行 结 束 退 出 ， 否 则 强 制 退 出 0 x 4 6 D l l S e r s t 获 取 服 务 器 信 息 0 x A 1 C o n n S o c k s 连 接 服 务 器 接 收 指 令 接 收 指 令 使 用 插 件 中 的 函 数 使 用 插 件 中 的 函 数 操 作 操 作 在 上 图 中 ， 在 “ 使 用 插 件 中 的 函 数 ” 一 列 中 ， 展 示 了 某 些 指 令 在 插 件 中 调 用 的 函 数 接 口 。 此 木 马 已 经 实 现 插 件 化 ， 并 实 现 多 种 远 控 功 能 。 组 合 使 用 危 害 更 大 ， 比 如 删 除 用 户 浏 览 器 数 据 信 息 （ c o o k i e s 等 ） ， 使 得 用 户 在 下 次 登 陆 时 必 须 再 次 输 入 用 户 名 和 密 码 ， 并 通 过 监 控 键 盘 输 入 和 截 屏 操 作 ， 对 受 害 者 的 个 人 隐 私 进 行 获 取 。 总 结 ： 尽 量 不 要 点 击 来 源 不 明 的 邮 件 和 可 执 行 文 件 ； 不 要 从 事 博   彩 等 违 法 行 为 ； 提 高 个 人 安 全 意 识 ； 电 脑 上 及 时 安 装 金 山 等 杀 毒 软 件 ， 对 预 警 的 病 毒 及 时 清 理 。 附 录 附 录 0 6 0 9 2 4 3 7 5 7 7 f 0 0 d 5 3 8 a 3 8 5 7 4 e c f 4 5 6 b b 0 2 f f 3 f 0 c 9 a f 5 b c 2 9 4 7 6 8 5 6 f 8 c 6 1 f 4 3 3 5 9 a 3 d 8 9 b 6 e 0 9 2 7 a 4 5 7 a c 0 1 f b 2 3 5 0 5 a b 6 f f b 8 0 5 2 a 3 4 d b f b a 1 4 6 8 7 c e 7 b e 8 8 5 4 e d d 2 6 5 e 7 6 8 5 5 3 b 2 c 5 6 6 b 2 d e c 6 a 9 c d d e 9 5 a e c 2 3 4 1 2 d f b e d f 2 5 c e 4 3 4 e a 0 2 b b f b 9 a e 9 6 0 b 9 8 1 1 e 8 a d b b 3 3 4 6 9 3 e c d 8 5 5 3 4 4 3 d 3 b 9 1
2 c a 5 e 1 e f f c 5 5 b 4 8 e 4 f a 1 9 b 4 d 1 1 9 d a 4 e 6 c 5 f a b e 2 e b a 9 b a b 8 c 2 3 5 9 8 e e 2 f 4 a 0 e c a d c 3 b 2 e 9 1 5 3 1 b e e 2 f 8 f 7 9 6 f e 6 1 a f 0 1 e a 1 4 5 0 b e c 1 7 2 e b 2 e 6 b 2 8 9 0 d 0 8 d a 3 3 1 1 0 0 9 8 b 3 4 0 e c f c 6 4 4 f 7 2 b b 3 3 d 9 8 0 d 2 4 1 3 9 0 9 0 1 0 d 0 e 8 6 e 4 4 b a 3 b e b 1 d 4 4 2 0 d 3 b 4 a c 4 c 5 4 c 8 f 0 4 1 c e 7 c 8 4 9 7 3 b 9 7 8 a 7 f 1 f 2 f 4 d e 5 0 5 5 3 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理