“大灰狼”远控木马分析及幕后真凶调查
9月初360安全团队披露bt天堂网站挂马事件,该网站被利用IE神洞CVE-2014-6332挂马,如果用户没有打补丁或开启安全软件防护,电脑会自动下载执行大灰狼远控木马程序。
鉴于bt天堂电影下载网站访问量巨大,此次挂马事件受害者甚众,360QVM引擎团队专门针对该木马进行严密监控,并对其幕后真凶进行了深入调查。
一、“大灰狼”的伪装
以下是10月30日一天内大灰狼远控的木马样本截图,可以看到该木马变种数量不少、伪装形态更是花样繁多。
大灰狼使用了不少知名软件图标,在此提醒网民在点击运行可疑来源的文件之前,最好查看属性通过数字签名判断文件真伪,而不要被文件名和图标迷惑:
二、木马程序分析
由于木马样本数量比较多,我们不一一列举,以下提供几例来说明:
本文用到的恶意代码md5:
|
1
2
3
4
|
0b1b9590ebde0aeddefadf2af8edf787
0ea5d0d826854cdbf955da3311ed6934
19c343f667a9b958f5c31c7112b2dd1b
d16e6ef8f110196e3789cce1b3074663
|
1、动态调用系统函数,躲避杀毒查杀
大灰狼远控由于长期的被杀毒追杀,所以大量的使用动态调用系统api,来躲避查杀,所有的文件相关操作都采用了动态调用的方式。
几乎所有的样本都需要动态的解码才能获取到相关的函数调用。
在IDA里,我们可以看到木马使用的手段:
2、远程下载加密文件,并且本地解密
木马程序为了方便远程的文件更新,会把恶意代码放在远程的一个服务器中,而且会对这个文件进行加密,需要在本地解密,然后装载到内存中,在本地文件中无法得到解密后的文件,只有一个被加密的残留文件:
通过调用木马本身的解密程序,我们对这个木马的文件进行了解密,但是木马会把这个代码放在内存中,这是解密后抓取的相关文件,是一个可执行的文件:
为了方便伪装,木马文件使用了其他公司的版权信息:
3、大量增加无关函数调用,检测和对抗杀毒软件
为了增加分析的难度,内存中抓取的文件也是被加密的,这个文件是程序执行的主要部分,为此我们还要继续解密。
经过继续的解密和分析,最终的解密文件的内部函数调用是这样的:
也有的是这样的:
这些调用显然与普通程序不同,这是一种通过大量增加类似sleep和Rectangle等跟木马功能完全无关的api调用,来实现干扰杀毒查杀的手段。
同时还会木马程序还会遍历检测各个杀毒软件。
为了躲避杀软的追杀,还采用了域名、网盘空间上线等上线方式:
通过以上的木马样本分析,我们可以看到,大灰狼远控具有比较丰富的免杀和对抗经验,那么木马作者究竟是什么人呢?接下来,我们需要按图索骥去追查这个木马的来源和幕后情况。
三、真凶调查
在处理数百个样本的过程中,我们逐步锁定了一个很关键的域名,这个域名在上文中相信大家也看到了:ckshare.com。
通过域名查询我们定位到了牧马人:
通过搜索引擎还发现了非常关键的信息:一个专门销售大灰狼木马的网站:
我们按照帖子的提示找到了该网站:
这个网站的客服居然就是域名的所有者,显然这个qq就是牧马人了。
我们发现该网站貌似正规,居然还有网站的备案信息:
通过获取的备案域名查询工信部网站的相关资料:
显然这个域名和备案信息是不一致的。那么这个备案信息对应的究竟是哪个域名呢?
可以看到备案信息就是木马的下载地址。同时下面还有一堆的域名,显然是牧马人留作备用的,同时我们获取了牧马人姓名等重要信息。
继续查询这个域名的解析ip是在广东省,然而域名相关的地址是河南,显然牧马人可能会有其他马甲,继续追查。
由于大灰狼远控网站提供的联系信息,我们进一步追查终于定位到了牧马人的重要信息,并假装买主与之联系:
在追查的过程中,我们最终掌握了该网站的大灰狼远控销售状况:
由于牧马人采用不同的等级销售方式,我们有理由确认这是一个资深的黑产“从业者”:
由于该牧马人有所戒备,难以通过qq聊天套出更多信息。不过从他炫耀的后台管理来看,与我们监控的木马传播状况是大体一致的,由此也佐证了这位木马贩子就是大灰狼远控的幕后黑手。
四、安全提醒
通过此次调查,360QVM团队逐步掌握了大灰狼远控的主要来源,这个远控木马在bt天堂挂马事件中非常猖獗,甚至把政府网站作为木马的下载地址,长期、持续地威胁着网民的财产和信息安全。
防范大灰狼一类远控木马的几个小建议:
一、及时打补丁。
二、XP用户一定要开启安全软件防护。
三、运行未知程序之前检查文件是否有正规的数字签名。
本文由 安全客 原创发布，如需转载请注明来源及本文地址。
本文地址：http://bobao.360.cn/learning/detail/2253.html
“大灰狼”远控木马分析及幕后真凶调查相关推荐
- BT天堂网站挂马事件后续：“大灰狼”远控木马分析及幕后真凶调查
9月初安全团队披露bt天堂网站挂马事件,该网站被利用IE神洞CVE-2014-6332挂马,如果用户没有打补丁或开启安全软件防护,电脑会自动下载执行大灰狼远控木马程序. 鉴于bt天堂电影下载网站访问量 ...
- 移花接木大法：新型“白利用”华晨远控木马分析
360安全卫士 · 2015/05/28 5:11 0x00 前言 "白利用"是木马对抗主动防御类软件的一种常用手法.国内较早一批"白利用"木马是通过系统文件r ...
- 一款远控木马分析，仅供学习思路用途
最近一段时间在面试病毒相关岗位,有的公司会电话.远程面试询问相关知识,有的则会直接发送病毒样本要求分析,写出分析报告.下面要分析的就是面试过程中的某个样本,整理成文,发表出来,供大家参考学习,一起进步 ...
- H-WORM家族远控木马分析与处置
病毒背景 H-WORM作者ID为Houdini,使用VBS编写以实现远控蠕虫功能,能够通过感染U盘传播,出现的时间最早可以追溯到2013年7月.因为其简洁有效的远控功能.非PE脚本易于免杀.便于修改等 ...
- “白加黑”远控木马技术分析及手杀方案
"白加黑"是民间对一种DLL劫持技术的通俗称呼,现在很多恶意程序利用这种劫持技术来绕过安全软件的主动防御以达到加载自身的目的,是目前很火的一种免杀手段.本文将针对此类病毒做了一个简 ...
- 控制指令高达二十多种：远控木马Dendoroid.B分析报告( 转)
控制指令高达二十多种:远控木马Dendoroid.B分析报告 IT社区推荐资讯 - ITIndex.net Apr 24 近期,360团队截获了一款功能强大的专业间谍软件,它可以通过PC端远程控制中招 ...
- 安全研究人员发现：Nanocore等多个远控木马滥用公有云服务传播
前言 攻击者越来越多的采用云来构建自己的基础设施,这样不仅能够使攻击者以最少的时间或金钱部署攻击基础设施,也能让追踪攻击行动变得更困难. 从 2021 年 10 月 26 日开始,研究人员发现多个远控 ...
- [网络安全自学篇] 九十.远控木马详解及APT攻击中的远控和防御
这是作者网络安全自学教程系列,主要是关于安全工具和实践操作的在线笔记,特分享出来与博友们学习,希望您喜欢,一起进步.前文分享了软件来源分析,结合APT攻击中常见的判断方法,利用Python调用扩展包进 ...
- 远控木马上演白利用偷天神技：揭秘假破解工具背后的盗刷暗流
本文讲的是远控木马上演白利用偷天神技:揭秘假破解工具背后的盗刷暗流,如今,不少人为了省钱,会尝试各种免费的方法获取网盘或视频播放器的会员权限,网上也流传着不少"网盘不限速神器"或者 ...
最新文章
- Matlab图像处理基本函数（1）
- NCEMASLG-32G的说明
- gmp计算机系统课件,EU GMP附录11计算机系统◆问答
- 【转载】Windows自带.NET Framework版本大全
- Ubuntu系统下载地址（Ubuntu、ISO、Ubuntu下载）
- push declined due to email privacy restrictions
- 【STL源码学习】std::list类的类型别名分析
- 系统协调服务器,协调网络系统 Collaboration network system
- Kafka：ZK+Kafka+Spark Streaming集群环境搭建（二十八）：kafka0.10.1 内置性能测试API用法示例...
- 005-OpenStack-网络服务
- EXCEL多项式曲线拟合很好实际验算误差大的解决办法
- 基于51单片机简易计算器LCD1602显示
- jquery+baidu map api 仿安居客地图找房源（基于百度地图）
- linux网卡配置trunk模式,centos配置单网卡为Trunk模式
- 疏忽了给该内页做外链
- Mysql 统计每周，半个月的数据
- U-Net论文阅读（逐句翻译+精读）
- 三点估算法 PERT计划评审技术
- 虚拟机启动后一直黑屏的解决办法
- WEKA进行Apriori、FP-Tree、K-means算法测试