绝地求生辅助软件

近期360安全卫士拦截到带木马的荒野求生辅助通过论坛、QQ、YY大量传播。木马运行后,黑客可以远程控制用户电脑,进行任意操作,并将中招电脑作为傀儡机,进行DDOS攻击,严重危害个人信息安全和网络秩序。

一、主要流程

带木马的荒野求生辅助以免费形式发布在布衣论坛中

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

带木马的荒野求生辅助运行后界面如下

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

该荒野求生辅助被用户下载运行后会释放运行两个木马文件:“过CRC检测.exe”和“防封插件.exe”。其中“防封插件.exe”,是一个远控木马,可以窃取用户电脑中的信息,下载执行任意文件。另外一个“过CRC检测.exe”,是一个DDOS木马,根据黑客指令进行定向攻击。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

二、防封插件.exe

防封插件.exe是一个加密木马的载体,该文件运行时会解密出具有远控功能的dll文件,并在内存中加载执行。

1. 解密dll木马

木马作者加密木马程序后,把加密数据作为全局变量存储在防封插件.exe程序的全局数据区。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

解密木马的功能位于防封插件.exe程序的异常处理里。由程序主动抛出整型异常,进入相应的异常处理函数,解出木马。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

解密后的木马是一个dll文件。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

2. 内存加载dll木马

防封插件.exe通过PELoader的方法,在内存中映射解密后的dll文件,并调用dllmain执行。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

然后计算导出函数ForShare82的位置,调用导出函数。至此,木马本体已经完整加载到内存并运行。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

3. Dll木马功能

Dll木马具有远控功能,控制服务器地址:27.126.188.68,端口:522。该程序包含键盘记录、下发文件、注册表控制、服务控制等功能。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

键盘记录功能:判断键盘输入的内容,然后格式化键盘信息,过滤特殊按键(SHITF、CTRL等),最后重组成吃鸡低价辅助完整的输入信息,写入文件。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

截屏功能:获取分辨率信息,然后进行截屏操作。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

其他控制功能:

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

三、过CRC检测.exe

过CRC检测.exe程序根据注册表项SYSTEMCurrentControlSetServices.Net CLR是否存在,判断程序是否第一次运行,首次运行会执行不同流程。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

1. 首次运行的执行流程

将自身以随机文件名拷贝到windows目录下

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

将拷贝后的文件注册为自动启动的服务,服务名.Net CLR。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

修改服务描述信息为:Microsoft .NET COM Integration with SOAP以进一步迷惑用户。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

写注册表项SYSTEMCurrentControlSetServices.Net CLR。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

删除原始木马文件。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

2. .Net CLR服务程序执行流程

由于首次运行时注册了服务,所以样本作为服务二次启动的时候就会进入另一个流程。

1) 创建互斥体“.Net CLR”

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

2) 释放hra33.dll(这是一个lpk劫持dll),紧接着便更新dll的资源,然后加载dll。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

hra33.dll被加载之后,DllMain中立即运行恶意行为,遍历用户磁盘文件,每当发现绝地求生排位黑号一个exe文件时,便将自身拷贝到exe文件目录下,并将自身重命名为lpk.dll。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

3) 创建局域网传播线程,尝试弱口令连接局域网内的用户,将自身拷贝到本地磁盘和局域网共享目录的C、D、E、F盘下并重命名为g1fd.exe,其中成功拷贝至C、D、E盘时,会以计划任务的方式直接启动。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

局域网传播中用到的部分用户名和弱口令

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

4) 创建三个远控线程。三个线程的控制功能是一致的,但连接的服务器不同,此外前2个线程会验证系统时间,当时间大于2013/2/21才会创建控制线程。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

远控线程1的连接,实测是无效连接。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

远控线程2的远程连接c&c 地址(z*******g.bid)端口是20199

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

远控线程3的连接,服务器地址是加密的,解密后是27.126.188.68:520

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

5) 远控线程的主要功能

下载执行任意文件

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

DDOS攻击

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

使用远程命令行参数启动IE

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

更新木马文件

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

卸载自身

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

四、溯源

通过对恶意样本的分析,找到了域名z*******g.bid,通过域名反查定位到域名相关的注册邮箱和联系电话。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

通过邮箱和手机定位到相关信息如下

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

五、木马的查杀

如果发现来历不明的文件,通过360安全卫士进行查杀,该远控木马已经第一时间被360杀毒查杀,请广大用户在使用安装包及时扫描查杀,避免使用未知来源的可疑软件。

绝地求生辅助软件 360安全卫士:荒野求生辅助,吃鸡辅助远控木马分析

本文作者:360安全

1372+

本站勉强运行

859+

用户总数

2017+

资源总数

30+

今日更新

2022-11-28

最后更新时间