搜索

[28504] 2020-08-17_PurpleWave-俄罗斯窃听器恶意软件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-08-17_PurpleWave-俄罗斯窃听器恶意软件分析 P u r p l e W a v e - 俄 罗 斯 窃 听 器 恶 意 软 件 分 析 O t s 安 全   2 0 2 0 - 0 8 - 1 7 I n f o s t e a l e r 是 网 络 犯 罪 分 子 最 赚 钱 的 工 具 之 一 ， 因 为 从 感 染 了 该 恶 意 软 件 的 系 统 收 集 的 信 息 可 以 在 地 下 网 络 犯 罪 分 子 中 出 售 或 用 于 凭 据 填 充 攻 击 。 Z s c a l e r   T h r e a t L a b Z 团 队 遇 到 了 一 个 名 为 P u r p l e W a v e 的 新 I n f o s t e a l e r ， 它 是 用 C   + + 编 写 的 ， 并 自 动 将 其 静 默 安 装 到 用 户 的 系 统 上 。 它 连 接 到 命 令 和 控 制 （ C ＆ C ） 服 务 器 以 发 送 系 统 信 息 ， 并 将 新 的 恶 意 软 件 安 装 到 受 感 染 的 系 统 上 。 该 恶 意 软 件 的 作 者 在 俄 罗 斯 网 络 犯 罪 论 坛 上 广 告 和 销 售 P u r p l e W a v e 窃 听 器 ， 带 有 终 身 更 新 的 费 用 为 5 , 0 0 0   R U B （ U S   $   6 8 ） ， 而 只 有 两 次 更 新 则 为 4 , 0 0 0 R U B （ U S   $   5 4 ） 。 图 1 ： 俄 罗 斯 论 坛 上 的 P u r p l e W a v e 销 售 帖 子 。 出 售 P u r p l e W a v e 的 作 者 声 称 ， 这 种 窃 取 程 序 能 够 窃 取 C h r o m i u m 和 M o z i l l a 浏 览 器 的 密 码 ， c o o k i e ， 卡 以 及 自 动 填 充 形 式 。 该 窃 取 程 序 还 会 从 指 定 路 径 中 收 集 文 件 ， 进 行 屏 幕 截 图 并 安 装 其 他 模 块 。 P u r p l e W a v e 盗 窃 者 的 功 能 包 括 ： 从 C h r o m i u m 和 M o z i l l a 窃 取 密 码 ， C o o k i e ， 卡 ， 自 动 填 充 数 据 ， 浏 览 器 历 史 记 录 。 从 指 定 路 径 收 集 文 件 捕 捉 屏 幕 盗 窃 系 统 信 息 窃 取 电 报 会 话 文 件 窃 取 S t e a m 应 用 程 序 数 据 窃 取 E l e c t r u m 钱 包 数 据 加 载 并 执 行 其 他 模 块 / 恶 意 软 件
图 2 ： P u r p l e W a v e 登 录 面 板 。 作 者 还 构 建 了 一 个 仪 表 板 ， 攻 击 者 可 以 在 该 仪 表 板 上 根 据 日 期 关 注 感 染 计 数 ， 访 问 被 感 染 计 算 机 的 被 盗 日 志 以 及 更 改 恶 意 软 件 配 置 设 置 。 图 3 ： P u r p l e W a v e 感 染 仪 表 板 。 仪 表 板 还 使 攻 击 者 能 够 自 定 义 P u r p l e W a v e 窃 贼 的 配 置 。
图 4 ： 用 于 自 定 义 P u r p l e W a v e 配 置 的 仪 表 板 。 技 术 分 析 技 术 分 析 在 执 行 P u r p l e W a v e 二 进 制 文 件 后 ， 它 会 以 俄 语 给 出 虚 假 的 错 误 消 息 ， 攻 击 者 可 以 在 其 面 板 中 对 其 进 行 自 定 义 。 但 是 在 后 台 ， 它 会 执 行 所 有 恶 意 活 动 。 图 5 ： 伪 造 的 错 误 消 息 （ 俄 语 ） 。 （ 它 转 换 为 ： 内 存 控 制 块 已 损 坏 。 ） 盗 窃 者 的 名 称 （ P u r p l e W a v e ） 和 版 本 （ 1 . 0 ） 以 二 进 制 形 式 进 行 硬 编 码 和 加 密 。 二 进 制 文 件 中 的 大 多 数 字 符 串 都 经 过 加 密 ， 但 是 在 运 行 时 借 助 二 进 制 文 件 中 存 在 的 解 密 循 环 将 其 解 密 （ 如 图 6 所 示 ） 。
图 6 ： 二 进 制 文 件 中 加 密 字 符 串 的 通 用 解 密 功 能 。 P u r p l e W a v e 二 进 制 文 件 创 建 一 个 名 称 为 “   M u t e x C a n t R e p e a t T h i s ” 的 互 斥 锁 ， 以 避 免 多 次 执 行 恶 意 软 件 实 例 。 之 后 ， 它 将 带 有 自 定 义 标 头 和 正 文 的 H T T P   P O S T 请 求 发 送 到 C ＆ C   U R L 以 获 取 配 置 数 据 。 图 7 ： 向 C ＆ C 服 务 器 发 送 请 求 以 获 取 配 置 数 据 。 它 创 建 一 个 H T T P 请 求 标 头 ， 其 内 容 类 型 为 “   f o r m - d a t a ” 。 边 界 分 配 有 “   b o u n d a r y a s w e l l ” 以 充 当 标 记 ， 而 用 户 代 理 则 设 置 有 “ a p p ” 。 它 创 建 一 个 请 求 主 体 ， 其 表 单 名 称 为 “   i d ” ， 并 且 为 其 分 配 的 值 为 1 。
图 8 ： 带 有 自 定 义 标 头 和 正 文 的 配 置 请 求 。 接 收 到 的 数 据 包 含 自 定 义 配 置 ， 该 配 置 可 能 会 因 二 进 制 文 件 而 异 。 我 们 已 经 观 察 到 P u r p l e W a v e 二 进 制 文 件 的 三 种 不 同 配 置 和 不 同 主 机 。 图 9 ： 来 自 不 同 P u r p l e W a v e 二 进 制 文 件 的 配 置 。 d i r s - 它 包 含 要 从 中 收 集 文 件 的 目 录 信 息 。 伪 - 包 含 伪 警 报 消 息 ， 将 在 执 行 时 显 示 给 用 户 。 加 载 程 序 - 它 包 含 要 在 受 感 染 系 统 上 安 装 的 其 他 模 块 名 称 。 对 于 C o n f i g - 2 ， P u r p l e W a v e 将 遍 历 路 径 “ ％ u s e r p r o f i l e ％ /   D e s k t o p ” 并 收 集 扩 展 名 为 t x t ， d o c 和 d o c x 的 文 件 。 在 C o n f i g - 3 中 ， 它 将 不 收 集 任 何 文 件 ， 但 是 在 加 载 器 中 具 有 名 为 “   K v 2 T D W 4 O ” 的 模 块 ， 该 模 块 将 在 系 统 上 下 载 并 执 行 。   安 装 其 他 模 块 安 装 其 他 模 块 为 了 安 装 接 收 到 的 配 置 （ C o n f i g - 3 ） 中 提 到 的 其 他 模 块 ， P u r p l e W a v e 再 次 创 建 一 个 H T T P   P O S T 请 求 ， 该 请 求 具 有 与 C   /   C 主 机 上 一 个 请 求 中 提 到 的 相 同 标 头 ， 后 跟 “   /   l o a d e r   /   m o d u l e _ n a m e ” 。
图 1 0 ： 下 载 附 加 模 块 的 请 求 。 P u r p l e W a v e 从 J S O N 配 置 中 枚 举 加 载 程 序 列 表 ， 从 C ＆ C 服 务 器 下 载 模 块 名 称 ， 并 将 其 存 储 在 ％ a p p d a t a ％ 目 录 中 ， 然 后 执 行 它 。
图 1 1 ： 下 载 并 执 行 其 他 模 块 。 。 我 们 在 某 些 P u r p l e W a v e 二 进 制 文 件 中 观 察 到 的 下 载 模 块 是 E l e c t r u m 钱 包 窃 取 程 序 ， 它 是 用 . N E T 编 写 的 ， 能 够 从 受 感 染 的 系 统 中 窃 取 E l e c t r u m 钱 包 数 据 。
图 1 2 ： 收 集 E l e c t r u m 钱 包 数 据 。 数 据 窃 取 数 据 窃 取 P u r p l e W a v e 能 够 从 C h r o m i u m 和 M o z i l l a 窃 取 凭 据 ， 自 动 填 充 数 据 ， 卡 数 据 ， C o o k i e 和 浏 览 器 历 史 记 录 。 对 于 C h r o m i u m 浏 览 器 ， 它 将 从 “   ％ A p p D a t a ％   L o c a l     { B r o w s e r }     U s e r   D a t a     D e f a u l t     L o g i n   D a t a ” 中 获 取 登 录 凭 据 ， 并 从 “ ％ A p p D a t a ％   L o c a l     { B r o w s e r }     U s e r   D a t a     D e f a u l t     C o o k i e s ” 和 其 他 信 息 ， 例 如 “   ％ A p p D a t a ％   L o c a l     { B r o w s e r }     U s e r   D a t a   D e f a u l t     W e b   D a t a ” 中 的 自 动 填 充 数 据 ， 卡 数 据 和 浏 览 器 历 史 记 录 。 图 1 3 ： 窃 取 浏 览 器 数 据 。 所 窃 取 的 浏 览 器 信 息 以 表 单 数 据 字 段 的 形 式 收 集 ， 其 名 称 如 下 所 示 ， 其 名 称 后 面 是 其 值 。 用 户 名 - 浏 览 器 [ B r o w s e r N a m e ] [ p a s s w o r d s ] [ i n d e x ] [ l o g i n ] 密 码 - 浏 览 器 [ B r o w s e r N a m e ] [ p a s s w o r d s ] [ i n d e x ] [ p a s s w o r d ]
图 1 4 ： 被 盗 的 浏 览 器 信 息 。 窃 取 程 序 与 浏 览 器 的 数 据 一 起 捕 获 当 前 屏 幕 ， 并 将 其 附 加 到 表 单 数 据 中 浏 览 器 的 被 盗 数 据 中 ， 文 件 名 为 “   s c r e e n s h o t . p n g ” 。 图 1 5 ： 捕 获 的 屏 幕 截 图 。 之 后 ， 它 将 收 集 有 关 受 感 染 系 统 的 所 有 信 息 ， 例 如 操 作 系 统 ， C P U 信 息 ， G P U 信 息 ， 计 算 机 G U I D ， 用 户 名 ， 计 算 机 名 称 等 。
图 1 6 ： P u r p l e W a v e 收 集 的 系 统 信 息 。 盗 窃 者 还 从 S t e a m 应 用 程 序 收 集 S S F N 文 件 。 S t e a m 应 用 程 序 用 于 玩 ， 讨 论 和 创 建 游 戏 。 存 在 S S F N 文 件 ， 用 于 在 用 户 每 次 登 录 其 S t e a m 帐 户 时 对 其 进 行 验 证 。 它 从 注 册 表 “   S o f t w a r e     V a l v e     S t e a m ” 获 取 S t e a m 路 径 ， 并 读 取 存 储 在 c o n f i g 目 录 中 的 所 有 S S F N 文 件 。 P u r p l e W a v e 还 从 T e l e g r a m 应 用 程 序 中 窃 取 与 会 话 相 关 的 文 件 。 它 读 取 系 统 注 册 表 分 支 “   H K C U     S o f t w a r e     C l a s s e s     t d e s k t o p . t g   D e f a u l t I c o n ” 中 默 认 键 的 值 ， 以 获 得 T e l e g r a m 的 路 径 ， 并 收 集 “   D 8 7 7 F 7 8 3 D 5 D 3 E F 8 C ” 目 录 中 以 “   m a p ” 开 头 的 所 有 文 件 。 图 1 7 ： 收 集 S t e a m 和 电 报 数 据 。 P u r p l e W a v e 合 并 所 有 收 集 的 文 件 数 据 ， 浏 览 器 数 据 ， 屏 幕 截 图 ， S t e a m 数 据 ， 电 报 数 据 和 系 统 信 息 ， 然 后 使 用 H T T P   P O S T 请 求 将 其 发 送 到 C ＆ C 服 务 器 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理