内容字号:默认大号超大号

段落设置:段首缩进取消段首缩进

字体设置:切换到微软雅黑切换到宋体

梁景祯,警察在找你!

2016-11-18 15:04 出处:清屏网 人气: 评论(0

Ban:huitailang【多次注册马甲发布软件捆绑木马】

此人最早可以追溯到2015年4月的大号418500646发布软件被发现捆绑木马封号了

之后,此人乐此不疲,依然时不时注册账号来发个软件捆绑木马,利用时下比较热门的软件如 ”百度云加速破解版“、”TeamViewer破解版“ 等,很不巧的是论坛为了保障用户安全,新手发帖都需要审核通过才能显示,绝大多数情况下在木马贴还没发出来就被封号了,下面我们来庖丁解马,把这个捆绑远控的木马剥离分尸看看他究竟都有些什么功能。

一:木马行为分析

此远控木马以 ”正常白文件+木马DLL“ 的方式进行运作(过主流安全软件云防护),目前发现三种被利用白文件,以TeamViewer捆绑的木马举例分析,木马核心就2个文件:

运行TeamViewer无限换ID.exe后,程序会自动加载cmcs21.dll木马DLL,这时候cmcs21.dll开始干活,简单来说干了以下几件事:

1、检测是否存在vmtoolsd.exe进程,来判断是否是虚拟机,如果是的话就退出。

2、通过修改EnableLUA注册表来禁用UAC。

3、释放出3个新的木马文件并复制TeamViewer无限换ID.exe和cmcs21.dll到指定目录

C:\Program Files\Windows NT\iusb3mon.exe(正常文件,用来劫持  MD5: 86E78DBD4C4B87594B0D8D4D85894682)

C:\Program Files\Windows NT\iusb3mon.dll(木马文件 MD5: 36923A0170B1FDF4F1B94D0D24F208F6)

C:\Program Files\Windows Media Player\SystemCsrss.exe(就是上面的TeamViewer无限换ID.exe)

C:\Program Files\Windows Media Player\data.sys(非PE文件,被加密的木马核心EXE,后面接续说)

C:\Program Files\Windows Media Player\cmcs21.dll(同上cmcs21.dll)

4、将释放的iusb3mon.exe劫持文件添加到启动项做自启动,并运行(图为SSM主动防御程序拦截)。

C:\Program Files\Windows NT\iusb3mon.exe正常文件运行后会自动加载目录下的木马iusb3mon.dll文件,这个DLL功能很简单,就是启动C:\Program Files\Windows Media Player\SystemCsrss.exe木马,这个exe被劫持放到启动项的目的就是重启电脑后启动木马。

我们接着看SystemCsrss.exe(依然是木马dll的功能)启动后干了什么:

1、检测是否存在vmtoolsd.exe进程,来判断是否是虚拟机,如果是的话就退出。

2、通过修改EnableLUA注册表来禁用UAC。

3、读取目录下data.sys进行解密,解密出来以后是一个exe,暂命名为data.exe(木马文件 MD5: B870A317D9B16BE72BD10418931A1A01),然后通过傀儡进程的方式把解密出来的exe写到自己的进程中并执行。

做了这么多次的黑白文件利用,终于主角要登场了,data.exe文件其实也是一个loader,他会通过自己程序中一段加密代码解密出space.dll(木马文件 MD5: 1906EB41E171693E16F18495F838DD34),然后内存加载DLL进行执行。

space.dll就是远控木马的核心了,功能挺多,支持远程多开、内网映射等,就不一一赘述了,简单看一下木马作者留的上线地址

http://fjaps.com/ip/ok.txt “,域名使用的是阿里云万网注册的,服务器也使用的是阿里云服务器,包含120.27.123.191、120.25.247.207、139.224.194.3, 木马作者真实IP:117.30.46.85(2016-11-16 15:23 从运营商那通过ip很容易查到人)

木马的内网映射功能会从http://www.xmhairong.com/htl/lcx.exe下载文件进行。

文中涉及文件:

TeamViewer无限换ID.exe(正常文件,用来劫持 MD5: F28DC3698714D559C20E46D1780FA9B0)

cmcs21.dll (木马文件 MD5: 7A3D3060EEAB5566A52B819713328367)

iusb3mon.exe(正常文件,用来劫持  MD5: 86E78DBD4C4B87594B0D8D4D85894682)

iusb3mon.dll(木马文件 MD5: 36923A0170B1FDF4F1B94D0D24F208F6)

data.exe(木马文件 MD5: B870A317D9B16BE72BD10418931A1A01)

space.dll(木马文件 MD5: 1906EB41E171693E16F18495F838DD34)

已经把木马打包,压缩包中1.IRScriptEditor就是上文分析的文件,2.tpsvcBase是老版本的木马(上线地址http://fjaps.com/ip/2118529640.txt),感兴趣的同学可以下载自行分析:

梁景祯你的马掉了.7z (3.21 MB, 下载次数: 109) 解压密码:52pojie

注:木马程序中有部分加了VMP和Shielden的壳,使用论坛OD即可正常调试,虚拟机注意vmtoolsd.exe进程会被检测。 二:木马作者信息

和放小木马的家伙你来我往这么久,这人到底是谁了?警察叔叔都在找你!通过域名和被封账号不难查出木马作者常用信息如下:

姓名:梁景祯

年龄:31

身高:身高171CM

出生地:福建泉州人

暂住地:福建厦门

手机:13666044244

QQ:418500646

微信:vip-20000

支付宝:viphuitailang@foxmail.com

邮箱:xmhairong@126.com

小编还看到木马作者在网上发的交流帖子,天天在电脑前搞木马是约不到女盆友滴!(主要还是丑。。。照片不贴了)

三:围剿木马抓捕梁景祯 近期此人趁开放注册活跃用户增加帖子数量增多,在管理没能审核到的新帖发布了捆绑远控的木马进行传播,根据统计,我们发现确实有论坛部分用户中招,并且深夜无人的时候远程控制肉鸡的老账号来发木马贴,在第一时间查封账号封锁源头。

通过木马文件分析后,我们已经和360安全卫士、QQ电脑管家、阿里云和网警取得联系,将木马详细的工作手段和传播方式交给安全厂商,在360安全卫士和QQ电脑管家工作平台上可以彻底查杀!将木马作者的阿里云服务器和阿里万网注册的域名提供给阿里,木马作者的阿里云服务器已经被查封,fjaps.com域名也在给阿里万网反馈中,大家可以一同发邮件举报反馈infosec@service.aliyun.com,可以尽早的封掉木马域名,这样木马作者就无法进行控制了。木马作者的信息已经提交给网警,由他们介入调查,如果有同学中毒可以在当地执法机关报案,一同对梁景祯进行抓捕!吾爱最为活跃的互联网精英们多数来自这些安全公司,在这撒野只能湿了自己的裤裆,奉劝那些蠢蠢欲动的人,尽快走入正途,不要误入歧途!

以防万一,建议大家使用360安全卫士或者QQ电脑管家进行木马查杀,防止中毒,有经验的朋友可以通过上述木马分析自行诊断是否中毒,大家在下载使用论坛程序的时候请多注意安全,如果发现任何有问题的程序可以到论坛投诉举报区举报,我们会及时处理,同样我们也会坚持和加强对论坛安全性保障,持续监控木马做作者的小动作。

最后感谢大家一直以来对吾爱破解论坛的支持和维护,论坛安全离不开大家监督,任何违法违规的行为都逃不过大家的眼睛和管理的审查,对待此类*渣论坛绝不手软,坚决处罚到底!


分享给小伙伴们:
本文标签: 木马

相关文章

发表评论愿您的每句评论,都能给大家的生活添色彩,带来共鸣,带来思索,带来快乐。

CopyRight © 2015-2016 QingPingShan.com , All Rights Reserved.

清屏网 版权所有 豫ICP备15026204号