搜索

[10011] 2016-04-14_“强奸”全球43款杀软的木马是怎样的存在？（附网友神评论）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-04-14_“强奸”全球43款杀软的木马是怎样的存在？（附网友神评论） 1 “ 强 奸 ” 全 球 4 3 款 杀 软 的 木 马 是 怎 样 的 存 在 ？ （ 附 网 友 神 评 论 ） 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 6 - 0 4 - 1 4 背 景 背 景 只 要 插 上 网 线 或 连 上 只 要 插 上 网 线 或 连 上 W I F I ， 无 需 任 何 操 作 ， 不 一 会 儿 电 脑 就 被 木 马 感 染 了 ， 这 可 能 吗 ？ 近 期 ， 腾 讯 反 病 毒 实 验 室 拦 ， 无 需 任 何 操 作 ， 不 一 会 儿 电 脑 就 被 木 马 感 染 了 ， 这 可 能 吗 ？ 近 期 ， 腾 讯 反 病 毒 实 验 室 拦 截 到 一 个 截 到 一 个 “ 黑 暗 幽 灵 黑 暗 幽 灵 ” 木 马 的 新 变 种 ， 该 木 马 功 能 强 大 ， 行 为 诡 异 ， 本 文 将 对 其 进 行 详 细 分 析 ， 以 下 是 该 木 马 的 主 要 木 马 的 新 变 种 ， 该 木 马 功 能 强 大 ， 行 为 诡 异 ， 本 文 将 对 其 进 行 详 细 分 析 ， 以 下 是 该 木 马 的 主 要 特 点 ： 特 点 ： 木 马 功 能 强 大 ， 主 要 以 信 息 情 报 收 集 为 主 ， 能 够 监 控 监 听 大 量 的 聊 天 软 件 ， 收 集 网 络 访 问 记 录 、 监 控 G m a i l 、 截 取 屏 幕 、 监 控 麦 克 风 和 摄 像 头 等 ； 木 马 对 抗 性 强 ， 能 够 绕 过 几 乎 全 部 的 安 全 软 件 主 动 防 御 ， 重 点 对 抗 国 内 安 全 软 件 ， 能 够 调 用 安 全 软 件 自 身 的 接 口 将 木 马 加 入 白 名 单 ， 作 者 投 入 了 大 量 的 精 力 逆 向 研 究 安 全 软 件 ； 木 马 感 染 方 式 特 别 ， 通 过 网 络 劫 持 进 行 感 染 ， 主 要 劫 持 主 流 软 件 的 自 动 更 新 程 序 ， 当 这 些 软 件 联 网 下 载 更 新 程 序 时 在 网 络 上 用 木 马 替 换 ， 导 致 用 户 无 感 中 毒 ； 木 马 通 讯 方 式 特 别 ， 木 马 将 数 据 封 装 成 固 定 包 头 的 D N S 协 议 包 ， 发 送 到 大 型 网 站 来 实 现 数 据 传 输 ， 此 方 法 可 以 绕 过 几 乎 全 部 的 防 火 墙 ， 但 是 黑 客 要 截 取 这 些 数 据 ， 必 须 在 数 据 包 的 必 经 之 路 上 进 行 嗅 探 拦 截 ， 结 合 木 马 的 感 染 方 式 ， 可 以 推 测 出 在 受 害 者 网 络 链 路 上 存 在 劫 持 ; 1 2 3 4 5
2 来 源 与 传 播 途 径 木 马 安 装 流 程 木 马 攻 击 范 围 较 小 ， 针 对 性 强 ， 且 持 续 时 间 长 达 数 年 ， 符 合 A P T 攻 击 的 特 性 。 木 马 行 为 概 述 木 马 行 为 概 述 2 . 1 经 过 对 大 量 受 感 染 用 户 的 分 析 ， 我 们 发 现 该 木 马 来 源 于 不 安 全 的 网 络 ， 无 任 何 系 统 漏 洞 的 机 器 只 要 连 接 到 这 些 网 络 后 ， 在 一 段 时 间 后 会 感 染 木 马 ， 经 分 析 发 现 木 马 主 要 通 过 在 网 络 上 劫 持 替 换 大 量 软 件 的 自 动 更 新 程 序 进 而 感 染 电 脑 。 当 安 装 在 电 脑 上 的 软 件 进 行 自 动 更 新 时 ， 更 新 包 被 替 换 成 木 马 ， 导 致 电 脑 被 入 侵 。 木 马 传 播 示 意 图 如 图 1 所 示 。 图 1 . 木 马 主 要 传 播 途 径 示 意 图 2 . 2 木 马 运 行 后 会 判 断 本 机 安 装 的 安 全 软 件 ， 会 检 测 多 达 4 3 款 安 全 相 关 软 件 ， 当 检 测 到 不 同 的 安 全 软 件 后 ， 执 行 不 同 的 安 装 方 式 ， 以 实 现 绕 过 安 全 软 件 的 检 测 和 拦 截 。 经 分 析 发 现 该 木 马 主 要 有 三 种 不 同 的 安 装 方 式 ， 木 马 最 终 安 装 启 动 的 方 式 为 将 核 心 d l l 释 放 到 e x p l o r e r 同 目 录 下 ， 对 其 进 行 d l l 劫 持 启 动 。 如 图 2 中 三 种 颜 色 分 别 代 表 三 种 不 同 的 安 装 方 式 ， 经 测 试 该 木 马 能 够 绕 过 当 前 绝 大 部 分 安 全 软 件 的 防 御 和 拦 截 最 终 成 功 安 装 。 5
木 马 功 能 分 解 图 2 . 木 马 安 装 流 程 示 意 图 2 . 3 该 木 马 主 要 功 能 是 窃 取 计 算 机 各 种 信 息 ， 通 过 插 件 监 控 监 听 各 种 常 用 聊 天 软 件 的 语 音 文 字 聊 天 信 息 ， 接 受 指 令 进 行 简 单 的 远 程 操 控 ， 将 自 动 化 收 集 到 的 各 种 信 息 文 件 打 包 发 送 。 如 图 3 所 示 为 木 马 功 能 一 览 。
木 马 网 络 通 信 图 3 . 木 马 功 能 一 览 2 . 4 该 木 马 的 网 络 通 信 方 式 与 木 马 的 传 播 方 式 相 呼 应 ， 木 马 将 收 集 到 的 各 种 信 息 打 包 成 文 件 ， 随 后 将 其 加 密 并 封 装 成 D N S 请 求 包 ， 并 将 这 些 数 据 包 发 送 到 国 内 几 大 知 名 网 站 服 务 器 。 这 样 的 通 讯 方 式 可 以 绕 过 几 乎 所 有 的 防 火 墙 、 入 侵 检 测 产 品 ， 然 而 黑 客 如 何 取 得 这 些 数 据 包 从 而 获 得 窃 取 的 数 据 呢 ？ 经 分 析 发 现 其 封 装 的 D N S 数 据 包 都 有 着 相 同 且 固 定 的 数 据 包 头 ， 因 此 我 们 推 测 黑 客 会 在 数 据 包 必 经 之 路 上 对 数 据 包 进 行 拦 截 转 发 到 黑 客 服 务 器 ， 从 而 获 得 收 集 到 的 信 息 ， 如 图 4 所 示 为 推 测 出 的 木 马 通 讯 数 据 包 投 递 流 程 。
3 安 装 释 放 图 4 . 木 马 网 络 通 讯 方 式 推 测 木 马 详 细 分 析 木 马 详 细 分 析 3 . 1 母 体 结 构 母 体 结 构 该 木 马 的 母 体 程 序 为 一 个 e x e 可 执 行 文 件 ， 通 过 网 络 劫 持 正 常 软 件 的 更 新 程 序 而 被 下 载 执 行 ， 该 文 件 中 包 含 5 个 资 源 文 件 ， 均 为 简 单 加 密 的 P E 文 件 ， 其 中 1 4 1 为 x 8 6 版 核 心 d l l 、 1 4 2 为 l s p 劫 持 d l l 、 1 4 6 为 x 6 4 版 核 心 d l l 、 1 5 0 为 白 加 黑 黑 文 件 ， 1 5 1 为 白 加 黑 白 文 件 ， 以 下 将 详 细 分 析 。 适 应 多 种 系 统 ， 不 同 系 统 不 同 行 为 适 应 多 种 系 统 ， 不 同 系 统 不 同 行 为 判 断 操 作 系 统 版 本 ， 设 置 全 局 变 量 ， 随 后 将 根 据 该 全 局 变 了 进 行 大 量 的 不 同 操 作 。 利 用 系 统 漏 洞 提 权 利 用 系 统 漏 洞 提 权 判 断 当 前 系 统 是 否 为 v i s t a 、 w i n 7 等 ， 如 果 是 则 检 测 当 前 进 程 是 否 具 有 管 理 员 权 限 ， 如 果 没 有 该 木 马 会 尝 试 通 过 C V E - 2 0 1 1 - 1 2 4 9 将 自 身 提 升 为 管 理 员 权 限 。 该 漏 洞 影 响 x p 、 v i s t a 、 w i n 7 等 多 种 版 本 操 作 系 统 。 对 对 e x p l o r e r 进 行 进 行 d l l 劫 持 劫 持 通 过 注 册 表 检 测 本 机 安 装 的 安 全 软 件 ， 当 目 标 系 统 没 有 安 装 安 全 软 件 时 ， 木 马 将 根 据 操 作 系 统 释 放 劫 持 d l l 到 % w i n d i r % 目 录 下 对 e x p l o r e r 进 行 劫 持 启 动 ， 在 x p 等 系 统 下 木 马 释 放 n t s h r u i . d l l 、 在 w i n 7 等 系 统 释 放 m s l s 3 2 . d l l ， 在 w i n 8 等 系 统 释 放 A d u i o S e s . d l l 。 随 后 启 动 一 个 新 的 e x p l o r e r 进 程 加 载 核 心 d l l 开 始 工 作 ， 此 为 第 一 种 安 装 方 式 。
对 抗 安 全 软 件 3 . 2     暂 存 核 心 文 件 暂 存 核 心 文 件     如 果 检 测 到 趋 势 等 国 际 安 全 软 件 而 又 未 检 测 到 国 内 主 流 安 全 软 件 时 ， 木 马 会 将 核 心 d l l 释 放 到 % C o m m o n P r o g r a m f i l e s % 的 一 个 子 目 录 下 ， 暂 时 存 放 。 释 放 释 放 d l l 并 安 装 并 安 装 l s p 同 时 释 放 l s p 劫 持 d l l ， 并 添 加 l s p ， 通 过 l s p ， 该 d l l 可 以 注 入 到 所 有 具 有 网 络 连 接 的 进 程 中 。 在 注 入 的 进 程 中 进 行 d l l 文 件 的 移 动 ， 从 而 绕 过 安 全 软 件 ， 此 为 第 二 种 安 装 方 式 。 释 放 白 加 黑 释 放 白 加 黑   释 放 白 加 黑 对 抗 杀 软 释 放 白 加 黑 对 抗 杀 软 当 存 在 国 内 主 流 安 全 软 件 时 ， 木 马 为 了 绕 过 针 对 l s p 安 装 的 拦 截 使 用 了 白 加 黑 技 术 。 木 马 通 过 白 加 黑 技 术 ， 并 加 以 一 系 列 复 杂 技 巧 绕 过 主 动 防 御 实 现 安 装 l s p ， 经 测 试 大 部 分 安 全 软 件 的 主 动 防 御 均 被 绕 过 。 绕 过 杀 软 对 绕 过 杀 软 对 e x p l o r e r 进 行 进 行 d l l 劫 持 劫 持 安 装 l s p 后 ， 相 关 d l l 便 以 l s p 劫 持 的 方 式 插 入 到 所 有 联 网 进 程 中 ， 包 括 s v c h o s t 、 浏 览 器 、 聊 天 软 件 、 安 全 软 件 等 。 D l l 加 载 后 首 先 判 断 当 前 进 程 ， 符 合 条 件 则 将 之 前 备 份 的 核 心 d l l 移 动 到 % w i n d i r % 目 录 进 行 劫 持 （ 重 启 后 移 动 ） 。 此 为 第 三 种 安 装 方 式 。 加 载 核 心 加 载 核 心 d l l 随 后 木 马 判 断 自 身 是 否 位 于 i e 、 s v c h o s t 、 杀 软 等 进 程 ， 以 进 行 不 同 的 行 为 ， 同 时 尝 试 直 接 加 载 核 心 d l l （ 如 果 没 加 载 ， 劫 持 需 要 等 系 统 重 启 后 核 心 d l l 才 会 被 加 载 ） 。 恶 意 操 作 杀 软 白 名 单 ， 免 杀 恶 意 操 作 杀 软 白 名 单 ， 免 杀 木 马 判 断 自 身 是 否 位 于 各 种 安 全 软 件 进 程 中 ， 如 果 是 则 调 用 安 全 软 件 自 身 接 口 进 行 白 名 单 添 加 ， 会 将 所 有 木 马 文 件 路 径 添 加 到 杀 软 白 名 单 中 。 经 测 试 ， 涉 及 到 的 安 全 软 件 均 能 正 常 添 加 白 名 单 。 l s p 阻 止 安 全 软 件 联 网 ， 阻 断 云 查 阻 止 安 全 软 件 联 网 ， 阻 断 云 查 通 过 l s p 过 滤 函 数 对 W S P S e n d 、 W S P S e n d T o 函 数 进 行 过 滤 ， 当 判 断 发 包 者 是 安 全 软 件 进 程 则 直 接 关 闭 连 接 ， 阻 止 联 网 ， 阻 断 云 查 。   通 过 白 加 黑 安 装 l s p 过 主 防
信 息 收 集 网 络 通 讯 3 . 3 收 集 网 卡 信 息 收 集 网 卡 信 息 收 集 的 网 卡 信 息 包 括 网 卡 型 号 、 网 卡 m a c 、 网 关 i p 、 网 关 m a c 等 。 收 集 系 统 安 装 的 软 件 列 表 收 集 系 统 安 装 的 软 件 列 表 木 马 通 过 注 册 表 U n i n s t a l l 获 取 计 算 机 安 装 的 软 件 列 表 信 息 ， 将 获 取 的 信 息 异 或 0 x 8 7 后 写 入 到 C : W I N D O W S T e m p { E 5 3 B 9 A 1 3 - F 4 C 6 - 4 d 7 8 - 9 7 5 5 - 6 5 C 0 2 9 E 8 8 F 0 2 } s o f t . p r o g 文 件 中 ， 以 下 获 取 的 信 息 无 特 殊 说 明 都 位 于 该 目 录 下 。 截 屏 截 屏 获 取 当 前 屏 幕 快 照 ， z i p 压 缩 后 保 存 为 t i m e ( ) . v 文 件 。 收 集 磁 盘 文 件 目 录 收 集 磁 盘 文 件 目 录 获 取 磁 盘 驱 动 器 信 息 ， 包 括 全 盘 所 有 文 件 路 径 ， 获 取 后 z i p 压 缩 到 d r i v e . d 文 件 中 。 收 集 收 集 I E 历 史 记 录 历 史 记 录 通 过 c o m 获 取 浏 览 器 历 史 记 录 信 息 ， 存 储 到 i e . h i s 收 集 设 备 信 息 收 集 设 备 信 息 遍 历 系 统 设 备 ， 判 断 是 否 有 笔 记 本 电 源 适 配 器 、 摄 像 头 、 麦 克 风 三 种 设 备 ， 将 结 果 加 密 写 入 到 t i m e ( ) . h d 文 件 中 。 针 对 浏 览 器 进 行 键 盘 记 录 针 对 浏 览 器 进 行 键 盘 记 录 安 装 W H _ G E T M E S S A G E 全 局 钩 子 ， 安 装 后 理 论 上 所 有 具 有 消 息 循 环 的 进 程 均 会 加 载 此 d l l ， 并 调 用 钩 子 函 数 ， 在 钩 子 回 调 中 ， 判 断 当 前 进 程 是 否 是   I e x p l o r e r . e x e 、 3 6 0 s e . e x e 、 S o g o u E x p l o r e r . e x e 三 种 浏 览 器 进 程 ， 如 果 是 则 进 行 键 盘 记 录 ， 记 录 的 包 括 按 键 信 息 、 窗 口   标 题 ， 通 过 i m m 3 2 . d l l 该 方 法 还 可 以 记 录 中 文 输 入 ， 记 录 到 的 信 息 存 为 （ 日 期 + 时 间 ） . k 文 件 。 收 集 收 集 g m a i l 信 息 信 息 在 记 录 键 盘 时 ， 当 判 断 以 上 浏 览 器 窗 口 中 含 有 G m a i l 字 符 时 ， 会 启 动 一 个 线 程 专 门 收 集 G m a i l 信 息 ， 会 加 载 相 关 插 件 ， 尝 试 通 过 I m a p 协 议 下 载 服 务 器 上 的 所 有 文 件 。 加 载 插 件 收 集 各 种 加 载 插 件 收 集 各 种 I M 相 关 信 息 相 关 信 息 通 过 进 程 名 判 断 s k y p e . e x e 、 c c . e x e 、 r a i d c a l l . e x e 、 y y . e x e 、 a l i i m . e x e 等 即 时 聊 天 、 语 音 聊 天 软 件 ， 加 载 相 关 插 件 对 此 类 聊 天 软 件 进 行 监 听 监 控 。 3 . 4 通 讯 协 议 通 讯 协 议 此 木 马 最 诡 异 的 地 方 是 通 讯 方 式 ， 该 木 马 没 有 C & C 服 务 器 ， 所 有 的 数 据 均 伪 装 成 D N S 包 发 送 到 w w w . b a i d u . c o m 、 w w w . s i n a . c o m 、 w w w . 1 6 3 . c o m 域 名 所 在 服 务 器 的 5 3 端 口 或 者 8 0 0 0 端 口 。 黑 客 要 想 获 取 这 些 数 据 包 ， 必 须 在 数 据 包 从 本 地 计 算 机 到 这 些 网 站 服 务 器 的 必 经 之 路 上 进 行 劫 持 嗅 探 。 自 动 上 传 收 集 到 的 文 件 自 动 上 传 收 集 到 的 文 件 所 有 木 马 自 动 收 集 的 文 件 ， 木 马 插 件 生 成 的 文 件 都 会 被 定 时 打 包 编 号 并 发 送 出 去 。 远 程 控 制 远 程 控 制
4 5 木 马 还 会 绑 定 本 地 一 个 u d p 端 口 ， 并 不 断 尝 试 收 取 指 令 ， 进 行 远 程 控 制 ， 主 要 的 远 程 控 制 功 能 包 括 c m d s h e l l 、 文 件 管 理 、 插 件 管 理 等 。 木 马 信 息 木 马 信 息 4 . 1 安 全 软 件 安 全 软 件         木 马 检 测 到 多 达 4 3 款 安 全 软 件 ， 涵 盖 了 国 内 全 部 的 安 全 产 品 及 国 外 较 有 名 的 安 全 产 品 ， 从 安 全 软 件 来 看 ， 该 木 马 主 要 针 对 国 内 用 户 。 4 . 2   其 它 信 息 其 它 信 息         从 木 马 的 互 斥 体 、 调 试 信 息 等 可 看 出 D C M 应 该 是 该 木 马 的 代 号 ， 但 是 什 么 的 缩 写 的 ？ 这 个 还 真 猜 不 出 来 。 安 全 建 议 安 全 建 议 软 件 厂 商 ： 下 载 更 新 程 序 尽 量 使 用 h t t p s 等 安 全 加 密 的 通 讯 协 议 ， 对 下 载 回 来 的 文 件 在 加 载 运 行 前 一 定 要 做 签 名 校 验 。
7 用 户 ： 尽 量 不 要 使 用 安 全 性 未 知 的 网 络 上 网 ， 如 公 共 W I F I 、 酒 店 网 络 等 ， 如 果 怀 疑 自 己 的 网 络 有 问 题 ， 及 时 与 运 营 商 反 映 。 此 外 安 装 安 全 软 件 可 在 一 定 程 度 上 防 御 此 类 攻 击 ， 目 前 管 家 已 率 先 查 杀 该 木 马 及 其 变 种 。 网 友 神 评 论 网 友 神 评 论 m a h u a t e n g 咋 这 没 眼 力 劲 儿 啊 。 。 。 。 。 眼 瞎 没 办 法   。 没 法 教 。 P R 这 回 彻 底 懵 逼 了 。 。 。 。   毁 了 麻 花 疼 一 世 英 名 啊 h a h a h a 怎 么 感 觉 是 G   0 v 的 马 。 草 泥 马 D 国 的 木 马 都 敢 拆 ， 是 不 是 不 想 混 了 。 e x p s k y 第 一 个 想 问 的 问 题 就 是 ， 谁 中 了 这 个 马 ？ 没 有 点 背 景 的 人 是 不 会 中 招 这 样 的 马 的 。 这 个 木 马 必 然 属 于 A P T 性 质 的 木 马 ， 涉 及 到 了 从 A R P ， 漏 洞 利 用 ， 主 流 木 马 技 术 ， 各 种 杀 软 的 深 入 分 析 等 等 ， 功 能 丰 富 并 且 能 稳 定 运 行 ， 这 必 然 开 发 者 和 中 招 的 人 都 不 是 普 通 人 。 单 就 是 里 面 的 D N S 通 讯 方 式 ， 就 可 以 看 出 ， 一 般 人 能 把 劫 持 设 备 放 到 你 小 区 网 关 ， 公 司 网 关 ？ 就 这 项 就 不 是 只 靠 技 术 能 解 决 的 问 题 。 算 了 不 能 再 想 了 ， 就 到 这 里 吧 … . 渣 渣 有 点 水 坑 攻 击 的 意 味 ， 未 来 的 趋 势 基 本 是 物 理 攻 击 为 主 了 ， 可 以 想 象 下 ， 接 线   无 人 机 空 投 “ 设 备 ”   真 是 防 不 胜 防 . * 投 稿 ： 腾 讯 安 全 管 家 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理