搜索

[9267] 2015-08-23_技术分析：在线棋牌游戏的木马“集结号”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-08-23_技术分析：在线棋牌游戏的木马“集结号” 技 术 分 析 ： 在 线 棋 牌 游 戏 的 木 马 “ 集 结 号 ” F r e e B u f   2 0 1 5 - 0 8 - 2 3 一 、 概 况 一 、 概 况 集 结 号 游 戏 中 心 是 一 款 拥 有 较 高 人 气 的 棋 牌 游 戏 平 台 ， 包 含 百 余 款 潮 流 性 竞 技 休 闲 游 戏 ， 如 斗 地 主 、 三 国 赛 马 、 港 集 结 号 游 戏 中 心 是 一 款 拥 有 较 高 人 气 的 棋 牌 游 戏 平 台 ， 包 含 百 余 款 潮 流 性 竞 技 休 闲 游 戏 ， 如 斗 地 主 、 三 国 赛 马 、 港 式 五 张 、 对 杀 牛 牛 、 捕 鱼 达 人 等 。 式 五 张 、 对 杀 牛 牛 、 捕 鱼 达 人 等 。 3 6 0 互 联 网 安 全 中 心 近 期 捕 获 到 大 量 伪 装 该 游 戏 平 台 的 虚 假 安 装 包 ， 这 些 安 装 包 内 预 置 了 木 马 病 毒 ， 并 采 用 多 种 技 术 手 段 对 抗 杀 毒 软 件 的 检 测 查 杀 ， 本 文 将 对 其 推 广 渠 道 、 对 抗 手 段 以 及 木 马 行 为 进 行 全 盘 分 析 。 二 、 推 广 渠 道 二 、 推 广 渠 道 伪 装 “ 集 结 号 游 戏 中 心 ” 的 木 马 传 播 方 式 可 以 总 结 出 以 下 三 个 特 点 ： 1 、 针 对 国 内 主 流 搜 索 引 擎 ， 采 取 竞 价 排 名 推 广 ， 使 得 带 有 木 马 的 虚 假 游 戏 中 心 网 页 在 搜 索 结 果 中 排 在 前 面 ， 容 易 被 游 戏 玩 家 搜 索 下 载 到 ； 2 、 木 马 作 者 高 度 模 仿 官 方 网 站 ， 普 通 网 友 完 全 无 法 辨 别 真 假 网 站 ； 3 、 从 木 马 样 本 分 析 来 看 ， 木 马 作 者 具 有 比 较 丰 富 的 杀 软 对 抗 经 验 ， 应 该 是 黑 产 “ 老 手 ” 。 分 析 过 程 中 ， 测 试 人 员 发 现 不 光 “ 集 结 号 游 戏 中 心 ” 搜 索 结 果 的 第 一 页 有 多 个 木 马 链 接 ， 甚 至 搜 “ 集 吉 号 游 戏 中 心 ” 等 相 似 关 键 词 也 会 中 招 。 点 击 链 接 进 入 页 面 ， 会 发 现 虚 假 页 面 与 官 方 网 站 （ w w w . j j h g a m e . c o m ） 几 乎 一 样 ， 某 些 域 名 与 官 网 也 高 度 相 似 ， 如 w w w . j j h g w a m e . c o m 、 w w w . j j h g t a m e . c o m 、   w w w . j j g q n e . c o m 等 。 可 以 看 出 ， 木 马 为 了 推 广 下 了 不 少 本 钱 。 如 下 图 1 所 示 ：
图 1 - 搜 索 结 果 点 击 上 图 中 第 二 项 搜 索 结 果 w w w . j j h g q n e . c o m ， 页 面 被 重 定 向 至 j j h g a m e s . j j h g q n e . c o m : 8 1 ， 见 下 图 2 ， 重 定 向 页 面 是 一 个 钓 鱼 页 面 ， 和 官 网 风 格 完 全 一 样 （ 见 图 3 ） ， 但 其 页 面 上 的 链 接 都 指 向 自 身 （ h r e f = ’ # ’ ） ， 仅 网 吧 版 、 精 简 版 按 扭 指 向 待 下 载 的 重 打 包 木 马 安 装 包 。
图 2   –   虚 假 页 面 与 此 同 时 ， 在 集 结 号 游 戏 官 方 网 站 发 现 ， 游 戏 官 方 也 提 示 近 期 在 百 度 搜 索 中 出 现 大 量 虚 假 页 面 ， 建 议 用 户 认 清 官 网 地 址 h t t p : / / w w w . j j h g a m e . c o m 防 止 上 当 受 骗 。 如 下 图 3 所 示 ：
图 3 - 官 方 页 面 测 试 发 现 ， 木 马 作 者 注 册 的 钓 鱼 页 面 内 容 几 乎 一 样 ， 而 重 新 打 包 的 安 装 包 里 木 马 混 白 技 术 也 相 似 ， 推 测 所 有 钓 鱼 页 面 出 自 同 一 作 者 之 手 。 作 者 注 册 大 量 与 官 网 j j h g a m e 相 似 的 域 名 ， 并 伪 造 相 同 的 页 面 ， 用 以 传 播 推 广 木 马 。 三 、 混 淆 对 抗 三 、 混 淆 对 抗 接 下 来 ， 我 们 下 载 官 方 安 装 包 及 多 个 木 马 安 装 包 进 行 对 比 分 析 ， 通 过 分 析 发 现 木 马 作 者 在 不 同 安 装 包 中 使 用 多 种 手 法 进 行 对 抗 ， 试 图 躲 避 杀 毒 软 件 的 查 杀 ， 总 结 主 要 包 括 下 面 4 种 对 抗 手 段 ： 1 、 劫 持 原 安 装 包 中 D o w n l o a d . d l l ， 将 原 D o w n l o a d . d l l 修 改 为 g a m e . d l l 名 ， 在 恶 意 D o w n l o a d . d l l 中 重 新 加 载 g a m e . d l l ； 如 下 图 7 所 示 ： 图 7 - 安 装 文 件 分 析 从 文 件 日 期 可 以 看 出 ， D o w n l o a d . d l l 是 2 0 1 5 年 7 月 2 7 号 生 成 ， 说 明 该 木 马 作 者 依 旧 很 活 跃 。 木 马 文 件 D o w n l o a d . d l l 导 出 了 与 g a m e . d l l 中 相 同 的 函 数 C r e a t e D o w n l o a d S e r v i c e ， 该 D L L 函 数 会 在 G a m e P l a z a . e x e 被 加 载 调 用 ； 图 8 展 示 了 D o w n l o a d . d l l 劫 持 手 法 ：
图 8 - D o w n l o a d 劫 持 手 法 2 、 使 用 S t u d y P E 添 加 新 的 导 入 表 项 G a m e j j h . d l l ， 通 过 该 方 式 S t u d y P E 会 在 P E 结 构 中 新 增 . n e w i m p 节 ， 将 需 要 的 D L L 及 其 函 数 字 符 串 写 入 其 中 ， 并 在 I A T 表 中 添 加 相 应 的 导 入 表 项 。   原 G a m e P l a z a . e x e 并 未 导 入 G a m e j j h . d l l 。 如 下 图 9 、 图 1 0 所 示 是 被 修 改 后 的 G a m e P l a z a . e x e 主 程 序 ： 图 9 - 导 入 目 录
图 1 0 - 新 增 节 信 息 3 、 修 改 C o m S e r v i c e . d l l ， I n l i n e   H o o k   D l l E n t r y P o i n t 函 数 ， 函 数 入 口 强 制 J M P 到 T E X T 节 最 后 ， 在 该 处 进 行 D L L ( 虚 假 m s v c r t 8 . d l l )   加 载 。 下 图 1 1 展 示 了 木 马 强 制 跳 转 至 其 恶 意 代 码 的 截 图 ： 图 1 1 - 加 载 恶 意 代 码 4 、 通 过 细 微 修 改 原 版 G a m e U p d a t e . e x e ， A u t o U p d a t e . e x e ，   l o g i n . i n i 文 件 ， P a t c h 原 版 游 戏 中 心 的 升 级 路 径 ， 对 抗 查 杀 。 原 官 方 版 本 的 l o g i n . i n i 文 件 内 容 如 下 图 1 2 ：
图 1 2 - 官 方 配 置 文 件 （   l o g i n . i n i ） 重 打 包 后 木 马 安 装 包 里 的 l o g i n . i n i 文 件 如 下 图 1 3 ： 图 1 3 - 病 毒 配 置 文 件 （   l o g i n . i n i ） 通 过 分 析 发 现 字 段 U p d a t e I p 在 原 版 的 G a m e U p d a t e 、 A u t o U p d a t e 程 序 里 都 会 使 用 ， 木 马 作 者 一 方 面 修 改 G a m e U p d a t e 里 对 U p d a t e I p 的 引 用 为 U p h o s t I p ， 使 其 能 正 常 工 作 ， 另 一 方 面 N o p 掉 A u t o U p d a t e 里 的 M e s s a g e B o x 函 数 ， 使 其 静 默 下 载 u p d a t e . i i i b b b v v . c o m : 8 1 的 木 马 安 装 包 升 级 。 除 上 述 4 种 手 段 外 ， 测 试 还 发 现 大 量 其 他 手 段 ， 其 方 式 和 上 述 差 不 多 ， 如 修 改 z i p . d l l 文 件 I A T 表 ， 注 入 d 3 d x 9 _ 5 3 . d l l ； 劫 持 N e t W o r k S e r v i c e . d l l 等 。 四 、 木 马 分 析 四 、 木 马 分 析 1 、 、 D o w n l o a d . d l l 盗 号 木 马 盗 号 木 马 该 木 马 通 过 劫 持 集 结 号 游 戏 中 心 的 正 常 D o w n l o a d . d l l 程 序 启 动 ， 原 文 件 2 8 4 K B ， 病 毒 程 序 3 0 9 K B 。 该 D L L 启 动 起 来 后 加 载 c o m m o n . d l l 文 件 ， 并 调 用 其 i f c o n f i g 函 数 ， 接 着 从 G a m e P l a z a . e x e 和 P r o p e r t y M o d u l e . d l l 中 搜 索 特 殊 字 节 串 ， 并 h o o k 帐 号 密 码 处 理 函 数 等 。 程 序 代 码 如 下 图 1 4 所 示 ：
图 1 4 - 盗 号 木 马 下 文 依 次 截 图 展 示 h o o k 帐 号 输 入 的 过 程 ： 1 ） 木 马 从 地 址 空 间 0 x 4 0 1 0 0 0 开 始 搜 索 特 征 串 0 F B 6 D 0 8 5 D 2 7 4 2 2 C 7 ， 定 位 到 相 应 地 址 并 保 存 ； 见 下 图 1 5 所 示 ： 图 1 5 - 搜 索 特 征 串 2 ） H o o k 相 应 前 一 步 搜 索 到 的 地 址 的 代 码 ， 在 获 取 输 入 帐 号 后 调 用 木 马 自 身 函 数 g e t _ a c c o u n t ， 该 函 数 内 部 将 帐 号 发 送 至 木 马 作 者 服 务 器 ； 如 图 1 6 所 示 。 图 1 6 - h o o k 函 数 搜 索 对 应 的 字 节 串 ， 在 G a m e P l a z a . e x e 中 找 到 相 应 位 置 如 下 图 ， 可 以 看 出 这 里 是 G a m e P l a z a 帐 号 登 陆 处 理 函 数 ： 如 图 1 7 所 示 。
图 1 7 - 登 陆 函 数 2 、 、 C o m m o n . d l l 后 门 后 门 在 盗 号 D o w n l o a d . d l l 中 加 载 本 D L L ， 调 用 其 i f c o n f i g 函 数 ； 该 程 序 是 一 个 G h 0 s t 改 写 的 后 门 程 序 ， 从 云 端 获 取 配 置 信 息 、 监 听 本 地 端 口 、 注 册 服 务 、 添 加 自 启 动 、 检 测 杀 毒 软 件 等 ； 图 1 8 - G h 0 s t 后 门 五 、 其 他 信 息 五 、 其 他 信 息 据 分 析 ， 这 些 虚 假 的 游 戏 中 心 钓 鱼 网 站 均 使 用 虚 假 的 个 人 信 息 进 行 域 名 注 册 ， 变 化 频 繁 ， 没 有 实 际 意 义 。 调 查 发 现 ， 病 毒 木 马 的 黑 产 团 伙 除 了 针 对 集 结 号 游 戏 平 台 发 起 攻 击 外 ， 还 会 对 市 面 各 类 游 戏 中 心 使 用 类 似 的 手 法 进 行 攻 击 ， 如 辰 龙 游 戏 中 心 、 9 0 6 游 戏 中 心 等 。 此 外 ， 团 伙 还 会 开 发 各 种 外 挂 、 工 具 ， 如 凤 凰 游 戏 、 剑 侠 情 缘 等 游 戏 外 挂 ， 由 此 可 以 推 测 ， 该 团 伙 研 发 的 各 种 盗 号 、 远 控 木 马 还 可 能 通 过 其 研 发 的 外 挂 进 行 传 播 。 如 图 1 9 所 示 ， 我 们 再 次 在 百 度 中 搜 索 辰 龙 游 戏 中 心 ， 第 一 项 是 官 方 网 址 ， 而 之 后 连 续 三 个 全 是 钓 鱼 页 面 。 从 搜 索 第 一 项 和 第 二 项 可 以 明 显 看 出 ， 木 马 作 者 依 旧 采 用 老 方 法 注 册 相 似 的 域 名 （ 官 网 c l 0 5 9 . c o m ， 钓 鱼 网 址 c l 0 5 7 9 . z j 、 c l 0 5 5 9 . a l i a p p ） 欺 骗 用 户 ， 伪 造 页 面 与 官 网 完 全 一 样 。
图 1 9 - 辰 龙 游 戏 中 心 搜 索 结 果 六 、 防 范 措 施 六 、 防 范 措 施 在 线 棋 牌 这 类 休 闲 游 戏 ， 尽 管 游 戏 官 方 可 能 不 允 许 现 金 交 易 ， 但 是 通 过 第 三 方 交 易 手 段 ， 现 实 中 的 货 币 和 游 戏 中 货 币 是 可 以 互 相 兑 换 的 。 这 类 游 戏 都 含 有 赌 博 成 分 在 里 面 ， 甚 至 有 的 本 身 就 是 赌 博 ， 容 易 让 玩 家 沉 迷 其 中 ， 不 能 自 拔 ， 所 以 很 多 木 马 团 伙 就 打 这 上 面 的 主 意 。 木 马 作 者 大 量 购 买 域 名 ， 与 官 方 棋 牌 游 戏 相 似 度 极 高 ， 又 通 过 搜 索 竞 价 排 名 推 广 ， 对 普 通 玩 家 来 说 极 具 迷 惑 性 。 在 此 我 们 建 议 游 戏 玩 家 ： 不 要 轻 信 搜 索 结 果 ！ 认 准 官 网 域 名 再 访 问 ， 不 要 从 第 三 方 网 站 下 载 安 装 包 。 同 时 电 脑 注 意 开 启 安 全 软 件 ， 遇 到 危 险 警 报 时 要 按 提 示 清 除 木 马 ， 否 则 不 仅 会 损 害 游 戏 账 号 安 全 ， 电 脑 还 可 能 被 不 法 分 子 完 全 控 制 ， 有 可 能 造 成 更 严 重 的 后 果 。 * 作 者 ： 3 6 0 安 全 卫 士 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理