搜索

[4134] 2017-08-04_警惕QQ群里“王者荣耀”外挂可能是新型勒索病毒伪装！

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-08-04_警惕QQ群里“王者荣耀”外挂可能是新型勒索病毒伪装！ 警 惕 Q Q 群 里 “ 王 者 荣 耀 ” 外 挂   可 能 是 新 型 勒 索 病 毒 伪 装 ！ 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 0 4 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 8 月 4 日 讯 ， T r e n d   M i c r o 公 司 的 安 全 研 究 人 员 们 发 现 一 种 新 型 S L o c k e r 变 种 ， 它 在 A n d r o i d 平 台 上 直 接 套 用 加 密 勒 索 软 件 W a n n a C r y 的 图 形 用 户 界 面 。 这 一 新 型 S L o c k e r 移 动 勒 索 软 件 变 种 被 检 测 为 A N D R O I D O S _ S L O C K E R . O P S C B ， 它 主 要 利 用 中 国 社 交 工 具 Q Q 应 用 程 序 新 功 能 中 的 持 久 锁 屏 功 能 。 该 恶 意 文 件 加 密 勒 索 软 件 于 2 0 1 7 年 7 月 被 研 究 人 员 发 现 并 分 析 。 S L o c k e r 直 接 套 用 了 W a n n a C r y 的 图 形 用 户 设 计 界 面 。 尽 管 中 国 警 方 已 经 逮 捕 了 该 勒 索 软 件 的 创 始 人 ， 但 其 他 S L o c k e r 操 作 者 目 前 仍 然 未 被 逮 捕 归 案 。 受 害 者 主 要 是 从 Q Q 聊 天 群 组 当 中 收 取 到 该 移 动 恶 意 软 件 ， 且 攻 击 者 专 门 针 对 与 高 人 气 游 戏 《 王 者 荣 耀 》 相 关 的 群 组 进 行 攻 击 。 该 勒 索 软 件 被 伪 装 成 一 款 游 戏 作 弊 工 具 ， 并 使 用 “ 钱 来 了 ” 或 者 “ 王 者 荣 耀 修 改 器 ” 等 名 称 。 《 王 者 荣 耀 》 目 前 在 中 国 极 受 欢 迎 ， 日 活 跃 用 户 5 0 0 0 万 ， 拥 有 约 2 亿 注 册 用 户 ， 其 中 1 . 0 8 亿 的 女 性 玩 家 ， 这 个 数 字 已 超 过 阿 根 廷 和 加 拿 大 的 人 口 总 和 。 如 果 玩 家 不 慎 安 装 该 恶 意 软 件 ， 可 能 将 导 致 个 人 重 要 资 料 全 部 丢 失 ， 给 自 身 造 成 重 大 损 失 。 S L o c k e r 变 种 的 样 本 包 名 为 “ c o m . a n d r o i d . a d m i n . h o n g y a n ” 以 及 “ c o m . a n d r o i d . a d m i n . h u a n m i e ” 。 其 中 的 “ 红 颜 ” 与 “ 幻 灭 ” 拼 音 常 见 于 中 国 青 少 年 人 气 小 说 当 中 。
图 一 ： 勒 索 说 明 截 屏 内 容 图 二 ： 加 密 文 件 截 屏 。 其 中 提 到 “ 文 件 已 被 幻 灭 劫 持 ” 。 S L o c k e r 新 变 种 的 其 它 特 性 除 了 软 件 图 形 界 面 之 外 ， 新 变 种 中 还 包 含 其 它 一 些 设 计 变 更 。 可 在 恶 意 勒 索 软 件 运 行 之 后 更 改 设 备 壁 纸 ， 除 此 以 外 ， 这 一 新 型 S L o c k e r 病 毒 变 体 与 其 前 身 再 无 相 似 之 处 。 与 A N D R O I D O S _ S L O C K E R . O P S T 不 同 ， 新 版 本 病 毒 利 用 A n d r o i d 集 成 开 发 环 境 （ 简 称 A I D E ） 所 构 建 ， 该 程 序 可 用 于 直 接 在 A n d r o i d 设 备 上 开 发 A n d r o i d 应 用 。 值 得 强 调 的 是 ， A I D E 能 够 帮 助 勒 索 软 件 操 作 人 员 更 为 轻 松 地 开 发 简 单 A n d r o i d 软 件 包 （ 即 A P K ） ， 且 极 低 的 入 门 门 槛 可 以 吸 引 更 多 新 人 开 发 属 于 自 己 的 变 种 版 本 。 实 际 上 ， 图 一 所 示 的 “ A D D I N G   G R O U P ” 文 本 会 将 受 害 者 重 新 定 向 至 某 Q Q 群 组 ， 并 在 这 里 沟 通 赎 金 支 付 方 式 ， 攻 击 者 以 此 谋 取 暴 利 。
图 三 ： Q Q 群 组 页 面 截 图 。 此 页 面 题 为 “ 锁 机 幼 稚 园 ” ， Q Q 群 创 建 于 2 0 1 7 年 5 月 1 6 日 。 说 明 宣 称 ， 该 群 组 的 主 要 功 能 在 于 教 授 锁 机 技 术 ， 且 其 中 的 源 码 将 不 断 更 新 。 在 页 面 下 方 另 有 一 个 按 钮 ， 显 示 “ 申 请 加 群 ” 。 除 此 之 外 ， 另 有 一 段 “ 联 系 我 们 ” 文 本 ， 其 中 包 含 此 前 其 它 移 动 勒 索 软 件 所 不 具 备 的 勒 索 声 明 。 一 经 点 击 ， 受 害 者 的 Q Q 对 话 窗 口 即 会 弹 出 ， 可 供 其 与 勒 索 软 件 操 作 人 员 通 信 以 讨 论 文 件 解 密 事 宜 。 通 过 浏 览 该 疑 似 勒 索 软 件 操 作 人 员 的 Q Q 个 人 信 息 页 面 ， 我 们 还 发 现 其 中 提 到 要 解 决 文 件 ， 受 害 者 必 须 接 听 电 话 并 根 据 对 方 的 指 示 进 行 操 作 。 图 四 ： 受 害 者 与 勒 索 软 件 操 作 人 员 间 的 Q Q 聊 天 窗 口 。
另 外 ， 此 变 种 还 特 别 用 到 了 非 恶 意 应 用 程 序 中 的 合 法 证 书 ， 旨 在 避 免 自 身 被 反 病 毒 厂 商 列 入 黑 名 单 。 这 些 证 书 可 以 从 谷 歌 的 各 A n d r o i d 开 源 项 目 当 中 免 费 下 载 。 另 外 ， 其 该 变 种 还 使 用 合 法 的 云 存 储 服 务 （ b m o b ） ， 勒 索 软 件 操 作 人 员 可 利 用 其 变 更 解 密 密 钥 。 图 五 ： 新 变 种 的 打 包 结 构 。 S L o c k e   变 种 如 何 加 密 文 件 尽 管 显 示 出 更 为 高 级 的 设 计 要 素 ， 但 该 变 种 本 身 的 加 密 过 程 并 不 算 特 别 复 杂 。 虽 然 该 病 毒 的 前 身 使 用 H T T P 、 T O R 或 X M P P 与 C & C 远 程 服 务 器 进 行 通 信 ， 新 变 种 甚 至 都 未 使 用 任 何 C & C 通 信 技 术 。 在 执 行 时 ， 会 随 意 对 S D 卡 上 的 所 有 文 件 类 型 进 行 加 密 ， 其 中 包 括 缓 存 、 系 统 日 志 以 及 t m p 文 件 夹 等 ， 对 于 移 动 用 户 相 对 不 太 重 要 的 数 据 。 前 代 版 本 在 加 密 过 程 中 会 排 除 此 类 文 件 ， 而 仅 针 对 微 软 O f f i c e 文 档 、 视 频 以 及 图 像 等 更 加 重 要 的 文 件 格 式 。 根 据 样 本 来 看 ， 该 变 种 似 乎 使 用 A E S 加 密 算 法 与 已 经 过 时 的 D E S 加 密 算 法 — — 这 再 次 证 明 其 技 术 水 平 相 当 有 限 。
图 六 ： D E S 加 密 算 法 当 中 的 代 码 片 段 。 持 久 锁 屏 功 能 也 许 是 为 了 弥 补 对 S D 卡 中 所 有 文 件 进 行 加 密 的 小 缺 陷 ， 该 新 变 种 加 入 了 锁 屏 以 拒 绝 访 问 的 功 能 。 如 果 受 害 者 点 击 赎 金 记 录 中 的 解 密 按 钮 ， 则 会 弹 出 设 备 管 理 员 界 面 ;   而 只 要 受 害 者 点 击 取 消 按 钮 ， 该 病 毒 将 执 行 持 久 锁 屏 。 如 果 受 害 者 直 接 点 击 激 活 按 钮 ， 则 该 变 种 会 设 置 或 重 置 设 备 P I N 码 以 拒 绝 用 户 操 作 。 图 七 ： 设 备 管 理 员 U I 截 屏 。
图 八 ： P I N 码 锁 屏 截 图 。 解 决 方 案 与 建 议 虽 然 这 一 变 种 的 S L o c k e r 版 本 的 加 密 过 程 存 在 一 定 程 度 的 缺 陷 ， 但 其 引 入 的 新 功 能 进 行 持 久 锁 屏 ， 仍 然 值 得 Q Q 用 户 与 移 动 游 戏 玩 家 的 高 度 关 注 — — 勒 索 软 件 操 作 人 员 的 攻 击 手 段 正 变 得 日 趋 娴 熟 。 而 此 新 变 种 迅 速 的 扩 散 态 势 亦 表 明 ， 其 幕 后 黑 手 并 没 有 放 缓 推 进 脚 步 。 以 下 建 议 内 容 能 够 防 止 您 的 设 备 受 该 勒 索 软 件 感 染   ： 不 要 轻 信 软 件 诱 惑 而 下 载 ， 多 数 勒 索 软 件 都 会 伪 装 成 神 器 、 外 挂 、 辅 助 及 各 种 刷 钻 、 刷 赞 、 刷 人 气 的 软 件 ， 没 有 任 何 功 能 ， 只 为 吸 引 用 户 中 招 ; 仅 从 谷 歌 P l a y 商 店 等 合 法 应 用 商 店 处 下 载 并 安 装 应 用 ； 请 注 意 应 用 程 序 要 求 的 权 限 ， 特 别 是 允 许 应 用 程 序 在 外 部 存 储 上 获 取 读 取 / 写 入 权 限 ； 定 期 备 份 您 的 数 据 — — 可 备 份 在 其 它 安 全 设 备 或 者 云 端 ； 安 装 全 面 反 病 毒 解 决 方 案 。 感 染 指 标   ( 简 称 I O C S )
0 4 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 8 月 月   0 1 山 寨 版 W a n n a C r y 在 乌 克 兰 浮 出 水 面
0 2 W a n n a C r y 还 能 攻 击 关 键 基 础 设 施 ， 如 何 预 防 ？ 0 3 N S A   E s t e e m A u d i t 工 具 或 会 触 发 W a n n a C r y 般 的 攻 击 0 4 黄 道 丽 ： 以 W a n n a C r y 勒 索 攻 击 事 件 为 例 分 析 《 网 络 安 全 法 》 有 效 性 度 量 0 5 早 在 W a n n a C r y 之 前   至 少 存 在 3 个 组 织 利 用 永 恒 之 蓝 发 起 攻 击 0 6 比 W a n n a C r y 还 厉 害 的 A d y l k u z z 挖 矿 僵 尸 网 络 是 怎 么 被 发 现 的 ？ 0 7 美 军 方 竟 存 在 被 W a n n a C r y 勒 索 病 毒 感 染 的 电 脑   原 因 成 谜 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理