搜索

[9633] 2015-12-12_007黑客组织及其地下黑产活动分析报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-12-12_007黑客组织及其地下黑产活动分析报告 0 0 7 黑 客 组 织 及 其 地 下 黑 产 活 动 分 析 报 告 3 6 0 追 日 团 队   F r e e B u f   2 0 1 5 - 1 2 - 1 2 本 文 作 者 ： 3 6 0 追 日 团 队 第 一 章 第 一 章   存 在 若 干 年 的 地 下 产 业 链 活 动 存 在 若 干 年 的 地 下 产 业 链 活 动 一 、 关 于 一 、 关 于 0 0 7 组 织 的 产 业 链 组 织 的 产 业 链 我 们 从 2 0 1 1 年 开 始 发 现 H o o k 0 0 7 家 族 恶 意 代 码 ， 通 过 我 们 的 持 续 监 控 和 分 析 ， 幕 后 庞 大 的 黑 客 组 织 逐 渐 浮 出 水 面 ， 我 们 将 该 组 织 命 名 0 0 7 组 织 。 该 组 织 最 早 从 2 0 0 7 年 开 始 进 行 制 作 并 传 播 恶 意 代 码 ， 窃 取 用 户 数 据 、 虚 拟 财 产 等 互 联 网 地 下 产 业 链 活 动 ， 一 直 活 跃 至 今 。 这 是 我 们 目 前 捕 获 到 的 影 响 范 围 最 大 ， 持 续 时 间 最 长 的 地 下 产 业 链 活 动 。 以 0 0 7 组 织 为 主 的 地 下 产 业 链 主 要 涉 及 商 品 是 技 术 服 务 和 恶 意 代 码 ， 该 组 织 的 核 心 商 品 是 H o o k 0 0 7 远 程 控 制 恶 意 代 码 ， 进 一 步 主 要 包 含 制 作 恶 意 代 码 、 传 播 、 更 新 、 获 利 等 环 节 。 H o o k 0 0 7 远 程 控 制 是 该 组 织 独 立 开 发 并 进 行 持 续 的 更 新 维 护 。 0 0 7 组 织 具 备 严 密 完 整 的 组 织 结 构 ， 其 中 核 心 成 员 主 要 为 开 发 和 一 级 代 理 销 售 ， 目 前 我 们 能 明 确 掌 握 的 是 通 过 恶 意 代 码 这 种 商 品 的 交 易 是 该 组 织 牟 利 的 主 要 手 段 之 一 。 相 关 恶 意 代 码 传 播 到 最 终 通 过 窃 取 用 户 数 据 进 行 牟 利 这 一 环 节 我 们 可 以 确 定 是 该 地 下 产 业 链 的 一 部 分 。 图 1   消 费 者 与 生 产 者 基 本 关 系 0 0 7 组 织 涉 及 的 地 下 产 业 链 中 主 要 还 是 充 当 卖 家 （ 生 产 者 ） 的 角 色 。 从 下 图 商 品 分 类 中 ， 可 以 看 出 0 0 7 组 织 涉 及 的 商 品 主 要 为 恶 意 代 码 （ 远 控 、 免 杀 等 工 具 ） 和 提 供 相 关 技 术 服 务 。 另 外 该 地 下 产 业 链 中 其 他 环 节 会 包 括 数 据 信 息 、 权 限 、 漏 洞 等 商 品 ， 但 不 是 0 0 7 组 织 主 要 涉 及 的 商 品 类 型 。
图 2   地 下 产 业 经 济 链 体 系 中 商 品 分 类 二 、 影 响 范 围 最 大 的 地 下 产 业 链 二 、 影 响 范 围 最 大 的 地 下 产 业 链 0 0 7 组 织 相 关 攻 击 活 动 最 早 可 以 追 溯 到 2 0 0 7 年 ， 从 2 0 1 1 年 开 始 非 常 活 跃 。 制 作 并 传 播 的 H o o k 0 0 7 类 样 本 H A S H 数 量 达 到 1 7 万 个 ， 变 种 数 量 达 到 6 6 种 ， 相 关 恶 意 代 码 传 播 达 到 1 . 3 亿 次 。 另 外 我 们 近 三 个 月 捕 获 到 该 家 族 的 免 杀 器 版 本 已 超 过 上 百 个 ， 购 买 用 户 超 过 6 0 0 个 。 该 组 织 的 相 关 攻 击 活 动 主 要 针 对 中 国 用 户 ， 累 计 受 感 染 用 户 超 过 千 万 ， 单 就 H o o k 0 0 7 家 族 统 计 近 一 年 被 感 染 用 户 达 到 5 0 万 。 该 组 织 在 攻 击 成 功 后 会 通 过 远 程 控 制 强 行 阻 止 用 户 操 作 游 戏 ， 并 直 接 将 用 户 的 虚 假 财 产 、 游 戏 装 备 进 行 交 易 转 给 盗 号 者 帐 号 。 另 外 该 组 织 一 直 与 安 全 厂 商 进 行 持 续 的 对 抗 ， 从 静 态 查 杀 、 动 态 检 测 到 网 络 不 同 层 面 进 行 躲 避 和 对 抗 。 这 是 我 们 历 年 来 捕 获 到 的 影 响 范 围 最 大 ， 持 续 时 间 最 长 的 地 下 产 业 链 活 动 。 三 、 攻 击 目 标 三 、 攻 击 目 标 通 过 我 们 的 研 究 分 析 可 以 得 出 ， 0 0 7 组 织 主 要 针 对 中 国 地 区 的 用 户 ， 其 中 主 要 关 注 网 络 游 戏 玩 家 等 普 通 网 民 。 另 外 对 教 育 、 金 融 领 域 有 几 次 针 对 性 攻 击 ： 表 1   相 关 恶 意 代 码 原 始 文 件 名
表 2   H o o k 0 0 7 家 族 感 染 情 况 统 计 图 3   近 一 年 受 H o o k 0 0 7 家 族 影 响 的 用 户 数 量 四 、 攻 击 时 间 （ 变 化 趋 势 ） 四 、 攻 击 时 间 （ 变 化 趋 势 ） 图 4   恶 意 代 码 更 新 记 录 上 图 是 我 们 就 H o o k 0 0 7 家 族 变 化 趋 势 的 记 录 ， 每 个 时 间 点 都 是 H o o k 0 0 7 家 族 新 增 变 种 或 者 相 关 攻 击 方 式 或 资 源 有 重 大 变 化 的 记 录 。 0 0 7 组 织 相 关 攻 击 活 动 最 早 可 以 追 溯 到 2 0 0 7 年 ， 而 从 2 0 1 1 年 开 始 H o o k 0 0 7 家 族 开 始 影 响 比 较 广 泛 ， 可 以 看 出 在 2 0 1 4 年 到 2 0 1 5 年 期 间 H o o k 0 0 7 版 本 更 新 迭 代 非 常 频 繁 。 五 、 牟 利 五 、 牟 利 （ 一 ） 恶 意 代 码 （ 一 ） 恶 意 代 码 恶 意 代 码 的 制 作 和 更 新 维 护 是 0 0 7 组 织 的 核 心 业 务 。 进 一 步 相 关 类 型 主 要 是 木 马 生 成 器 、 免 杀 和 一 些 定 制 木 马 。 作 者 每 年 单 就 H o o k 0 0 7 这 一 种 远 程 控 制 恶 意 程 序 获 利 就 已 超 过 百 万 。 下 图 是 我 们 截 获 的 该 组 织 相 关 恶 意 程 序 的 报 价 单 。
图 5   0 0 7 组 织 相 关 恶 意 代 码 报 价 单 （ 更 新 时 间 为 2 0 1 0 年 7 月 ） 我 们 近 三 个 月 捕 获 到 该 家 族 的 免 杀 器 版 本 已 超 过 上 百 个 ， 购 买 用 户 超 过 6 0 0 个 。 下 图 是 购 买 相 关 恶 意 程 序 的 地 下 产 业 链 成 员 的 分 布 情 况 ， 可 以 看 出 以 广 东 省 最 多 ， 其 次 是 河 南 和 山 东 省 。 图 6   购 买 H o o k 0 0 7 远 控 的 地 下 产 业 链 成 员 分 布 （ 最 近 三 个 月 数 据 ） （ 二 ） 窃 取 用 户 数 据 （ 二 ） 窃 取 用 户 数 据 H o o k 0 0 7 远 程 控 制 主 要 功 能 就 是 攻 击 者 可 以 完 全 控 制 受 害 者 的 机 器 ， 攻 击 者 可 以 下 发 任 意 控 制 指 令 。 从 我 们 收 到 的 大 量 被 感 染 H o o k 0 0 7 木 马 的 用 户 反 馈 中 可 以 得 知 ， 该 组 织 在 攻 击 成 功 后 通 常 会 通 过 远 程 控 制 强 行 阻 止 用 户 操 作 游 戏 ， 并 直 接 将 用 户 的 虚 假 财 产 、 游 戏 装 备 进 行 交 易 转 给 盗 号 者 帐 号 。 也 就 是 主 要 以 窃 取 用 户 虚 拟 货 币 、 网 游 装 备 来 进 行 牟 利 。 通 过 窃 取 用 户 数 据 和 虚 拟 财 产 ， 造 成 每 年 普 通 网 民 财 产 损 失 逾 千 万 元 。
（ 三 ） 其 他 （ 三 ） 其 他 D D O S ： 该 组 织 成 员 有 开 发 如 “ 毁 灭 者 D D O S ” 等 D D O S 工 具 ， 由 此 我 们 怀 疑 除 了 工 具 的 开 发 ， 相 应 地 下 产 业 链 可 能 有 涉 及 相 关 D D O S 攻 击 业 务 。 恶 意 推 广 ： 通 过 我 们 监 控 发 现 ， 该 组 织 在 控 制 受 害 者 主 机 之 后 ， 可 能 会 远 程 控 制 下 载 执 行 推 广 包 ， 通 过 安 装 量 来 达 到 牟 利 的 目 的 。 六 、 用 户 反 馈 六 、 用 户 反 馈 我 们 从 第 三 方 平 台 和 3 6 0 论 坛 等 平 台 收 到 大 量 用 户 反 馈 ， 相 关 反 馈 主 要 集 中 在 已 经 造 成 用 户 财 产 损 失 的 用 户 求 助 信 息 。 以 下 是 一 些 典 型 用 户 反 馈 的 截 图 和 链 接 ： 图 7   用 户 反 馈 截 图 1 图 8   用 户 反 馈 截 图 2
图 9   用 户 反 馈 截 图 3 图 1 0   用 户 反 馈 截 图 4 第 二 章 第 二 章   攻 击 手 法 分 析 攻 击 手 法 分 析 一 、 典 型 攻 击 流 程 一 、 典 型 攻 击 流 程 （ 一 ） 基 于 即 时 通 讯 工 具 （ 一 ） 基 于 即 时 通 讯 工 具 图 1 1   典 型 攻 击 流 程 （ 基 于 即 时 聊 天 工 具 ） 具 体 攻 击 步 骤 ： a 、 攻 击 者 首 先 依 托 游 戏 平 台 进 行 “ 喊 话 ” 或 发 站 内 信 ， 以 出 售 、 收 购 或 交 换 游 戏 装 备 的 名 义 发 送 虚 假 消 息 ， 并 留 下 Q Q 号 。 b 、 受 害 者 通 过 游 戏 平 台 了 解 到 攻 击 者 发 送 的 消 息 ， 如 果 受 害 者 不 知 情 则 有 可 能 添 加 攻 击 者 联 系 方 式 ， 主 动 联 系 攻 击 者 。
c 、 进 一 步 攻 击 者 通 过 Q Q 等 即 时 聊 天 工 具 进 一 步 获 取 受 害 者 信 任 。 d 、 当 攻 击 者 取 得 受 害 者 一 定 程 度 信 任 后 ， 攻 击 者 会 将 木 马 文 件 伪 装 成 “ 装 备 图 片 ” 等 发 送 给 受 害 者 ， 受 害 者 接 收 执 行 后 则 被 植 入 相 关 后 门 木 马 ， 被 攻 击 者 控 制 。 e 、 远 程 控 制 玩 家 电 脑 ， 锁 定 计 算 机 的 键 盘 、 鼠 标 ， 或 设 置 屏 幕 黑 屏 。 并 短 时 间 内 将 玩 家 的 游 戏 装 备 ， 金 币 交 易 给 盗 号 者 的 帐 号 。 （ 二 ） 基 于 假 冒 网 站 （ 二 ） 基 于 假 冒 网 站 图 1 2   典 型 攻 击 流 程 （ 基 于 假 冒 网 站 ） 具 体 攻 击 步 骤 ： a 、 攻 击 者 首 先 制 作 假 冒 网 站 ， 这 里 主 要 是 假 冒 如 g a m e 4 5 6 类 游 戏 平 台 网 站 ， 同 时 会 制 作 相 应 虚 假 的 恶 意 安 装 包 程 序 。 最 终 假 冒 网 站 上 的 下 载 链 接 会 指 向 这 个 虚 假 安 装 包 程 序 。 b 、 进 一 步 攻 击 者 需 要 让 相 应 用 户 访 问 假 冒 网 站 ， 主 要 途 径 是 通 过 搜 索 引 擎 和 基 于 即 时 聊 天 工 具 等 平 台 。 攻 击 者 会 使 用 付 费 推 广 等 方 法 ， 使 得 相 关 假 冒 网 站 在 搜 索 某 些 关 键 字 的 时 候 ， 可 以 优 先 呈 现 在 搜 索 结 果 中 。 c 、 受 害 者 从 搜 索 引 擎 搜 索 出 或 者 从 聊 天 工 具 中 收 到 相 关 假 冒 网 站 链 接 ， 并 点 击 打 开 假 冒 网 站 ， 则 有 可 能 下 载 相 应 虚 假 安 装 程 序 。 假 冒 网 站 制 作 的 与 正 常 官 方 网 站 从 外 观 看 基 本 一 致 ， 用 户 很 难 辨 别 真 伪 。 另 外 相 关 游 戏 平 台 官 方 网 站 或 者 安 装 包 的 来 源 是 否 为 官 方 源 本 来 就 没 有 清 晰 明 确 的 提 示 ， 所 以 用 户 从 搜 索 结 果 中 很 难 识 别 哪 些 是 可 信 ， 那 些 是 恶 意 的 。 d 、 当 受 害 者 下 载 并 执 行 了 虚 假 安 装 包 ， 则 操 作 系 统 会 被 攻 击 者 控 制 。 e 、 远 程 控 制 玩 家 电 脑 ， 锁 定 计 算 机 的 键 盘 、 鼠 标 ， 或 设 置 屏 幕 黑 屏 。 并 短 时 间 内 将 玩 家 的 游 戏 装 备 ， 金 币 交 易 给 盗 号 者 的 帐 号 。 以 上 是 主 流 的 攻 击 流 程 ， 一 些 非 主 流 攻 击 流 程 没 有 具 体 展 开 。 如 利 用 邮 件 附 件 传 播 、 挂 马 传 播 等 传 播 方 式 ， 以 上 是 主 流 的 攻 击 流 程 ， 一 些 非 主 流 攻 击 流 程 没 有 具 体 展 开 。 如 利 用 邮 件 附 件 传 播 、 挂 马 传 播 等 传 播 方 式 ， D D O S 攻 击 ， 在 受 攻 击 ， 在 受 害 主 机 上 下 载 执 行 推 广 包 等 获 利 模 式 等 。 害 主 机 上 下 载 执 行 推 广 包 等 获 利 模 式 等 。 二 、 恶 意 代 码 传 播 二 、 恶 意 代 码 传 播 恶 意 代 码 的 传 播 方 法 主 要 集 中 在 依 托 即 时 通 讯 工 具 和 网 站 。 其 中 以 依 托 即 时 通 讯 工 具 这 种 方 式 占 主 流 。 （ 一 ） 即 时 通 讯 工 具 （ 一 ） 即 时 通 讯 工 具 攻 击 者 主 要 依 托 即 时 通 讯 工 具 进 行 恶 意 代 码 传 播 ， 从 目 前 捕 获 到 的 情 况 主 要 分 为 直 接 发 送 P E 可 执 行 程 序 ， 另 一 种 是 Q Q 群 共 享 。 该 方 法 针 对 性 强 ， 但 也 容 易 被 受 害 者 感 知 到 。 图 1 4   通 过 Y Y 传 播 的 文 件 形 态 示 例
由 于 W i n d o w s 系 统 默 认 是 不 开 启 显 示 后 缀 和 隐 藏 文 件 的 。 所 以 受 害 者 们 接 收 到 这 些 文 件 压 缩 包 解 压 后 ， 发 现 木 马 文 件 里 面 只 含 有 “ B M P 格 式 ” 的 图 片 （ 实 则 是 指 向 病 毒 程 序 的 快 捷 方 式 ） ， 而 真 正 含 有 恶 意 代 码 的 文 件 则 被 隐 藏 起 来 （ 二 ） 网 站 （ 二 ） 网 站 1 ） 假 冒 游 戏 平 台 网 站 攻 击 者 会 搭 建 虚 假 的 游 戏 平 台 ， 并 通 过 搜 索 引 擎 、 弹 窗 等 手 段 推 广 。 假 冒 的 游 戏 平 台 网 站 与 官 方 网 站 外 观 一 致 ， 受 害 者 很 难 分 辨 真 伪 。 攻 击 者 会 将 虚 假 的 恶 意 安 装 包 放 置 到 假 冒 的 网 站 上 ， 当 用 户 访 问 网 站 下 载 并 执 行 相 应 虚 假 安 装 包 则 会 被 攻 击 者 控 制 。 下 图 是 我 们 在 某 知 名 搜 索 引 擎 上 搜 索 凤 凰 山 庄 的 搜 索 结 果 。 可 以 看 到 ， 第 一 页 的 两 条 推 广 结 果 为 假 冒 的 网 站 。 图 1 5   “ 凤 凰 山 庄 ” 搜 索 结 果 图 1 6   假 冒 凤 凰 山 庄 网 站 （ 左 ） ， 凤 凰 山 庄 官 网 （ 右 ） 上 图 假 冒 凤 凰 山 庄 和 官 网 的 对 比 截 图 ， 我 们 可 以 看 出 除 了 网 址 不 同 ， 其 他 页 面 外 观 均 一 致 。 很 难 分 辨 真 伪 。 攻 击 者 不 是 单 一 选 择 一 款 游 戏 平 台 进 行 假 冒 伪 装 。 我 们 可 以 从 下 表 看 出 ， 攻 击 者 假 冒 了 很 多 游 戏 平 台 。 具 体 参 看 下 表 ：
表 3   假 冒 游 戏 平 台 网 站 列 表 2 ） 官 方 网 站 安 装 包 被 替 换 我 们 捕 获 到 从 某 些 游 戏 平 台 官 方 网 站 下 载 的 安 装 包 被 替 换 为 包 含 恶 意 代 码 的 虚 假 游 戏 平 台 安 装 包 。 进 一 步 我 们 分 析 官 方 可 信 网 站 存 在 恶 意 虚 假 安 装 包 这 种 情 况 ， 可 能 由 以 下 两 种 情 况 导 致 ： 第 一 、 相 关 官 方 可 信 网 站 被 攻 陷 ， 正 常 安 装 包 被 攻 击 者 替 换 ； 第 二 、 官 方 可 信 网 站 的 相 关 工 作 人 员 可 能 刻 意 替 换 放 置 恶 意 虚 假 安 装 包 。 从 我 们 的 分 析 来 看 ， 更 倾 向 于 第 一 种 情 况 。 下 面 是 凤 凰 游 戏 山 庄 网 站 存 在 恶 意 虚 假 安 装 包 的 情 况 ： 表 4   被 替 换 恶 意 虚 假 安 装 包 具 体 信 息 三 、 持 续 对 抗 三 、 持 续 对 抗
该 组 织 持 续 与 安 全 厂 商 进 行 对 抗 ， 至 少 针 对 包 括 3 6 0 在 内 的 3 款 国 内 安 全 软 件 ， 以 及 卡 巴 斯 基 、 比 特 梵 德 等 国 外 相 关 安 全 产 品 采 取 过 针 对 性 技 术 措 施 ， 对 抗 行 为 最 早 可 以 追 溯 到 2 0 0 8 年 。 对 抗 手 段 从 实 体 文 件 到 通 信 协 议 进 行 相 关 对 抗 ， 主 要 针 对 本 地 静 态 扫 描 、 云 查 杀 、 主 动 防 御 策 略 和 网 络 层 等 环 节 的 检 测 。 另 外 值 得 注 意 的 是 该 组 织 成 员 会 主 动 联 系 安 全 厂 商 ， 目 的 是 申 请 将 恶 意 程 序 添 加 白 名 单 或 者 探 测 安 全 厂 商 检 测 机 制 。 单 就 H o o k 0 0 7 这 个 家 族 ， 我 们 对 相 关 产 品 进 行 了 多 次 升 级 或 检 测 策 略 调 整 。 以 下 将 从 静 态 查 杀 、 动 态 检 测 、 网 络 监 控 和 探 测 厂 商 检 测 ， 这 四 个 方 面 逐 一 展 开 相 关 对 抗 手 法 的 介 绍 （ 一 ） 静 态 查 杀 （ 一 ） 静 态 查 杀 图 1 7   静 态 查 杀 对 抗 相 关 发 展 变 化 趋 势 从 上 图 可 以 清 晰 看 出 H o o k 0 0 7 在 静 态 查 杀 相 关 对 抗 发 展 历 程 ， 如 字 符 串 从 明 文 更 新 到 加 密 字 符 串 ， 最 后 为 无 字 符 串 特 征 。 早 期 的 H o o k 0 0 7 家 族 是 通 过 暴 风 白 利 用 ， 然 后 再 扩 展 到 其 他 厂 商 （ 如 迅 雷 等 ） 白 文 件 利 用 。 所 谓 “ 白 利 用 ” 通 常 指 的 是 病 毒 利 用 正 规 厂 商 的 正 常 程 序 作 为 掩 护 ， 通 过 这 些 程 序 在 判 断 逻 辑 上 的 一 些 缺 陷 利 用 其 加 载 木 马 作 者 的 提 供 的 恶 意 代 ， 用 以 逃 避 安 全 软 件 的 查 杀 。 最 近 一 段 时 间 ， 该 族 系 木 马 则 改 为 利 用 微 软 的 r u n d l l 3 2 . e x e 文 件 运 行 含 有 恶 意 代 码 的 d l l 文 件 。 （ 二 ） 动 态 检 测 （ 二 ） 动 态 检 测 1 ） 使 用 特 殊 浮 点 指 令 b y p a s s 虚 拟 机 查 杀 2 ） L D T D e t e c t ： 检 测 L D T 基 址 位 于 0 x 0 0 0 0 时 为 真 实 主 机 ， 否 则 为 虚 拟 机 3 ） G D T D e t e c t ： 检 测 G D T 基 址 位 于 0 x F F X X X X X X 时 说 明 处 于 虚 拟 机 中 ， 否 则 为 真 实 主 机 4 ） V M w a r e D e t e c t ： 检 测 V M w a r e 特 权 指 令 来 检 测 虚 拟 机 5 ） 起 初 是 自 启 动 ， 之 后 进 一 步 更 新 为 一 次 性 6 ） 逐 渐 阉 割 G h 0 s t 后 门 敏 感 功 能 （ 三 ） 网 络 监 控 （ 三 ） 网 络 监 控 1 ） 使 用 3 3 2 2 上 线 - > 其 他 动 态 域 名 - > 顶 级 域 名 - > 直 接 i p - > 微 博 ， 网 盘 中 转 2 ） G h 0 s t 上 线 协 议 - > 修 改 协 议 头 - > 逐 渐 修 改 成 无 特 征 协 议
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理