支付宝钓鱼木马（网购木马）的新动向

显示全部楼层 · 发表于 2012-3-29 00:16:10

本帖最后由 wjcharles 于 2013-1-17 22:36 编辑

最近出现了一系列“新型”网购木马，较之前的稍有进步，先非专业总结一下：
1.一般采用白EXE+黑DLL+DAT架构
2.用windows自带的记事本（notepad.exe）外联
3.整个钓鱼过程的用户体验更加流畅、真实，与正常支付流程、界面更加相似
4.所有https相关层面的传统网银防护防护基本全部失效，如地址栏的挂锁标志，Verisign的证书验证（即绿色的地址栏）

下面以样本区http://bbs.kafan.cn/thread-1256427-1-1.html为例，上运行样本后的效果图：
因为我上传不了附件，只能外链，比较麻烦，所以先上一些主要的图

双击后的提示框，多年不变的传统了。。。

记事本的外联

关键的来了，基础原理还是替换订单，以前说过，这次只看运行效果

快捷支付界面消失，因为快捷支付是淘宝直接支付（类似用支付宝余额支付），不用经过网银，也就无从替换订单钓鱼了

注意此时地址栏挂锁标志显示正常

点击充值，此时地址栏挂锁标志才消失，这是整个钓鱼过程唯一没有挂锁的步骤，比之前的样本改进了不少，正常情况是一直有挂锁标志的

出现了正常支付状态没有的“倒计时”，但相比以前的样本需要输入验证码或者加入一个另外的跳转页面，这个样本的进步还是明显的

跳转成功后及之后挂锁标志全部正常显示，包括Verisign的证书可信验证（即绿色地址栏）

此时页面与正常情况（下半部分）有较大不同，支付金额也被修改

输入银行帐号测试，实际金额大于1000！！

再换个帐号，大家来找茬，看得出真假吗？答案选中后面的文字下半部分为正常页面

下转4L

显示全部楼层 · 发表于 2012-3-29 00:23:05

图挂了

显示全部楼层 · 发表于 2012-3-29 01:03:57

等图啊

显示全部楼层 · 发表于 2012-3-29 01:43:43

本帖最后由 wjcharles 于 2013-1-17 22:38 编辑

与http://bbs.kafan.cn/thread-1133828-1-1.html相比，可以看到明显的进步

下面说说这个样本的不足之处

这是被利用的exe的内存占用，有1G。。。

这是被用来外联的记事本程序，内存占用不多，cpu占用竟然有10%，还是i7 SNB 4C8T的cpu。。。

不知是不是程序的优化问题，或者作者认为不能流畅运行这个木马的计算机，机主网银里也没什么钱不值得盗取？

另外还是老问题，既然可以把网银的支付页面改动这么多地方，为什么不把它改得跟正常情况下的页面一模一样呢？看来木马作者还要更加注意细节

显示全部楼层 · 发表于 2012-3-29 06:23:54

图全挂了呢

显示全部楼层 · 发表于 2012-3-29 06:32:00

图片要本地上传

显示全部楼层 · 发表于 2012-3-29 07:36:18

看不到图

显示全部楼层 · 发表于 2012-3-29 07:49:48

越来越先进了

显示全部楼层 · 发表于 2012-3-29 08:08:01

待楼主补图……

显示全部楼层 · 发表于 2012-3-29 08:44:46

么东东？

[技术原创] 支付宝钓鱼木马（网购木马）的新动向

本帖子中包含更多资源

评分

本帖子中包含更多资源