设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [9961] 2016-03-29_一次对支付宝木马的分析溯源之旅 ...
返回列表 发新帖
查看: 1|回复: 0

[9961] 2016-03-29_一次对支付宝木马的分析溯源之旅

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2016-03-29_一次对支付宝木马的分析溯源之旅 一 次 对 支 付 宝 木 马 的 分 析 溯 源 之 旅 3 6 0 天 眼 实 验 室   F r e e B u f   2 0 1 6 - 0 3 - 2 9 0 x 0 0   引 子 引 子 与 网 络 的 黑 暗 面 斗 争 中 ， 我 们 看 到 太 多 的 年 轻 人 陷 入 黑 产 的 陷 井 ， 少 数 人 暴 发 横 财 及 时 收 手 还 能 全 身 而 退 ， 多 数 人 与 网 络 的 黑 暗 面 斗 争 中 ， 我 们 看 到 太 多 的 年 轻 人 陷 入 黑 产 的 陷 井 ， 少 数 人 暴 发 横 财 及 时 收 手 还 能 全 身 而 退 ， 多 数 人 身 处 产 业 链 的 底 端 所 得 不 多 却 受 牢 狱 之 灾 。 年 轻 人 是 国 家 的 未 来 ， 他 们 敢 想 敢 干 而 又 无 知 鲁 莽 ， 希 望 他 们 不 要 为 一 身 处 产 业 链 的 底 端 所 得 不 多 却 受 牢 狱 之 灾 。 年 轻 人 是 国 家 的 未 来 ， 他 们 敢 想 敢 干 而 又 无 知 鲁 莽 ， 希 望 他 们 不 要 为 一 时 的 无 知 付 出 太 大 的 代 价 ， 今 天 的 这 个 文 章 可 以 算 作 一 个 警 醒 ， 千 金 不 换 回 头 路 。 时 的 无 知 付 出 太 大 的 代 价 ， 今 天 的 这 个 文 章 可 以 算 作 一 个 警 醒 ， 千 金 不 换 回 头 路 。 网 络 从 来 就 是 一 把 双 刃 剑 ， 越 来 越 便 捷 的 知 识 传 播 让 广 大 的 网 络 黑 产 工 作 者 们 只 需 简 单 修 改 别 人 的 代 码 就 可 以 制 作 出 所 谓 的 原 创 木 马 病 毒 ， 并 进 一 步 出 售 进 行 获 利 。 近 期 ， 3 6 0 天 眼 实 验 室 拦 截 到 一 类 盗 取 用 户 支 付 宝 余 额 的 木 马 ， 追 根 溯 源 揪 出 了 木 马 制 造 者 及 一 批 木 马 放 马 者 ， 而 背 后 的 造 马 者 竟 是 一 个 高 三 学 生 ， 我 们 想 说 考 不 考 得 上 大 学 还 在 其 次 ， 这 位 同 学 现 在 最 应 该 读 一 下 网 络 犯 罪 相 关 法 条 立 即 收 手 以 免 终 身 受 此 所 累 。 0 x 0 1   样 本 分 析 样 本 分 析 为 了 对 抗 查 杀 ， 使 用 易 语 言 做 木 马 开 发 极 其 常 见 ， 我 们 所 看 到 的 这 个 样 本 即 是 如 此 ， 相 关 的 信 息 如 下 ， 供 大 家 参 考 。 木 马 文 件 M D 5 :   1 9 7 6 f 6 c b b c 3 2 f c b d 7 e a a 7 5 3 1 8 6 4 2 a 1 8 2 尽 管 分 析 起 来 有 点 麻 烦 ， 但 搞 清 楚 木 马 行 为 只 是 时 间 问 题 ， 主 要 包 括 ： 代 码 加 入 花 指 令 ， 对 抗 分 析 调 试 过 期 自 动 失 效 （ 失 效 后 想 再 次 使 用 木 马 就 要 向 木 马 作 者 缴 费 再 次 购 买 ） 访 问 腾 讯 微 博 、 新 浪 微 博 链 接 地 址 获 取 支 付 宝 交 易 的 钱 数 、 次 数 、 频 率 开 线 程 监 控 用 户 的 支 付 宝 转 账 操 作 ， 同 时 将 转 账 地 址 替 换 成 放 马 者 指 定 的 支 付 宝 账 户 1 . 1   加 入 花 指 令 ， 对 抗 分 析 调 试 加 入 花 指 令 ， 对 抗 分 析 调 试 部 分 花 指 令 如 下 ：
1 . 2   判 断 木 马 是 否 过 期 判 断 木 马 是 否 过 期 过 期 时 间 是 2 0 1 6 年 1 月 1 4 日 ， 如 图 ： 1 . 3   访 问 微 博 链 接 获 取 交 易 欺 诈 参 数 访 问 微 博 链 接 获 取 交 易 欺 诈 参 数 访 问 h t t p : / / t . q q . c o m / q 9 1 2 * * * 9 3 7 微 博 地 址 ， 匹 配 出 木 马 所 需 的 信 息 ， 微 博 内 容 为 ： 解 密 出 微 博 地 址 ： 访 问 腾 讯 微 博 地 址 ， 得 到 微 博 内 容 ：
从 微 博 页 面 中 匹 配 “ 支 付 宝 读 取 头 部 ” 和 “ 支 付 宝 读 取 尾 部 ” ， 匹 配 出 木 马 预 留 信 息 ： 获 取 到 页 面 数 据 后 ， 通 过 作 者 预 先 写 好 的 开 始 标 记 和 结 束 标 记 读 取 到 用 到 的 数 据 ： 从 微 博 读 取 到 的 支 付 宝 所 需 数 据 格 式 为 " 1 3 2 6 7 9 3 2 1 9 1 | 1 1 0 0 | 8 0 | 1 1 0 0 " ， 其 中 的 1 3 2 6 7 9 3 2 1 9 1 表 示 支 付 宝 账 号 ， 1 1 0 0 表 示 快 捷 金 额 ， 8 0 表 示 触 发 金 额 ， 1 1 0 0   是 最 大 限 额 。 当 然 ， 如 果 腾 讯 微 博 格 式 发 布 信 息 格 式 不 正 确 ， 木 马 还 会 弹 窗 报 错 ， 提 示 发 布 正 确 格 式 的 微 博 内 容 。 对 于 木 马 转 账 的 支 付 宝 账 号 ： 1 3 2 6 7 9 3 2 1 9 1 ， 推 测 应 该 是 一 个 手 机 号 ， 从 搜 索 引 擎 搜 索 结 果 得 知 ， 手 机 归 属 地 是 广 州 惠 州
的 ， 如 图 ： 1 . 4   账 号 替 换 账 号 替 换 木 马 程 序 打 开 后 起 线 程 不 停 查 找 浏 览 器 的 窗 口 ， 直 到 浏 览 器 的 地 址 栏 包 含 a l i p a y 字 符 后 ， 木 马 开 始 对 支 付 过 程 进 行 劫 持 ： 调 用 易 语 言 的 类 库 ， 获 取 当 前 的 U R L 地 址 ， 用 于 判 断 用 户 是 否 正 在 进 行 支 付 操 作 。
如 果 用 户 正 在 进 行 支 付 操 作 ， 就 查 找 h t t p s : / / p e r s o n a l w e b . a l i p a y . c o m / p o r t a l / n e w h o m e . h t m 网 址 中 的 < s p a n   c l a s s = " i n t e g e r " 标 签 和 < i n p u t t y p e = " h i d d e n "   i d = " J - m f u n d - b a l a n c e "   v a l u e = 标 签 分 别 得 到 用 户 的 账 户 余 额 和 余 额 宝 的 余 额 。 在 后 台 进 行 封 包 劫 持 ：
木 马 通 过 注 入 浏 览 器 ， 后 台 P o s t 提 交 参 数 的 方 式 ， 用 户 从 浏 览 器 中 看 不 出 有 任 何 的 异 常 ， 而 只 有 在 支 付 之 后 的 交 易 记 录 中 ， 才 有 可 能 发 现 收 款 人 已 被 替 换 。 而 一 切 都 以 为 时 晚 矣 。 0 x 0 2   推 手 追 索 推 手 追 索 通 过 搜 索 引 擎 搜 索 “ 支 付 宝 读 取 头 部 ” 关 键 字 ， 我 们 找 到 了 一 批 有 问 题 的 腾 讯 微 博 账 号 ， 这 些 账 号 大 多 都 是 直 接 从 木 马 作 者 手 中 购 买 木 马 的 “ 放 马 者 ” ： 然 后 ， 我 们 就 从 这 批 放 马 者 的 账 号 中 发 现 一 个 亮 瞎 眼 的 账 号 内 容 h t t p : / / t . q q . c o m / h y 6 1 7 * * * 3 1 至 于 亮 瞎 眼 的 原 因 见 下 图 ， 由 此 ， 我 们 定 位 到 了 可 疑 造 马 者 ， Q Q 号 为 ： 5 5 0 0 * * * 3 9 和 6 1 7 * * * 3 1   ：
下 面 我 就 将 按 照 ” 造 马 者 ” 与 “ 放 马 者 ” 两 条 线 索 分 别 展 开 。 2 . 1   造 马 者 追 踪 造 马 者 追 踪 通 过 对 造 马 者 的 发 微 博 时 的 实 时 位 置 ， 定 位 到 造 马 者 经 常 在 四 川 省 南 充 市 活 动 ， 如 图 ： 另 外 ， 通 过 对 上 面 两 个 Q Q 号 公 开 的 信 息 比 较 ， 也 确 定 这 两 个 Q Q 号 都 是 造 马 者 的 Q Q 号 ， 其 中 5 5 0 0 * * * 3 9 的 Q Q 号 为 造 马 者 的 小 号 。 而 6 1 7 * * * 3 1 为 造 马 者 联 系 木 马 业 务 的 常 用 号 码 ：
从 搜 索 引 擎 也 得 知 ， 造 马 者 曾 被 人 举 报 ， 称 造 马 者 盗 源 码 写 软 件 ： 造 马 者 为 了 销 售 木 马 ， 还 专 门 成 立 了 一 个 Q Q 群 ， 推 测 群 里 应 该 有 好 多 放 马 者 ， 当 然 根 据 群 位 置 信 息 ， 也 可 以 进 一 步 确 定 造 马 者 所 在 的 地 理 位 置 正 是 南 充 ， 与 前 面 关 于 造 马 者 地 理 的 推 断 一 致 。
通 过 对 造 马 者 Q Q 持 续 的 关 注 ， 基 本 可 以 断 定 造 马 者 是 高 中 生 。 2 0 1 5 年 1 2 月 份 ， 造 马 者 Q Q 的 修 改 签 名 为 “ 秒 余 额 ， 快 捷 ， 余 额 宝 免 杀 马 代 秒 鱼 。 回 5 。 需 要 的 私 聊 大 量 收 家 庭 肉 鸡 ， 有 的 窗 口 。 ” ， 如 下 图 而 2 0 1 6 年 2 月 2 9 日 ， Q Q 个 性 签 名 更 改 为 “ 3 月 份 停 工 ， 高 考 后 复 出 ， 学 习 新 技 能 ” ， 可 以 推 断 出 造 马 者 是 高 中 生 ：
与 此 同 时 ， 我 们 还 在 造 马 者 的 腾 讯 微 博 中 看 到 造 马 者 对 木 马 书 写 的 “ 产 品 说 明 书 ” （ 支 持 W i n d o w s 所 有 版 本 ） 、 “ 广 告 语 ” （ 高 度 人 性 化 ， 可 操 作 性 强 ， 稳 定 性 强 ） 、 价 格 （ 支 付 宝 收 款 7 0 0 / 月 ， 银 行 卡 收 款 1 0 0 0 / 月 ） 等 ， 见 下 图 ： 查 询 Q Q 群 关 系 数 据 库 ， 得 到 造 马 人 的 另 外 一 个 常 用 的 Q Q 号 码 : 9 6 3 * * * * 3 9 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:06 , Processed in 0.718002 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表