查看: 1474|回复: 0
收起左侧

[技术原创] 游戏外{过}{滤}挂辅助工具暗藏远程控制木马

[复制链接]
腾讯电脑管家
发表于 2018-7-12 17:38:02 | 显示全部楼层 |阅读模式
0×1 概述
腾讯御见威胁情
报中心近日检测到某游戏的死神外{过}{滤}挂工具被内置远程控制木马。这个外{过}{滤}挂程序运行前,先欺骗诱导用户关闭杀毒软件,声称本外{过}{滤}挂程序会被杀毒软件“误杀”。一旦游戏玩家信以为真,在关闭或退出杀毒软件之后运行外{过}{滤}挂程序,暗藏在外{过}{滤}挂程序包里的farfli家族系列远程控制木马就被释放运行。
当游戏玩家在电脑上运行这个死神外{过}{滤}挂程序之后,电脑即被黑客完全控制而沦为“肉鸡”。外{过}{滤}挂程序释放的farfli家族系列远程控制木马会在内存中装载一个CMD命令控制台,可供黑客执行任何命令。
这个远程控制木马还可以监控电脑屏幕、监控麦克风、摄像头,监控中毒电脑的每一个键盘操作,远程控制电脑重启、注销或关机;远程控制中毒电脑下载安装任意程序;攻击者还可以控制肉鸡电脑发起DDoS攻击。
一句话总结:就是游戏玩家一旦退出杀毒软件,运行这个死神外{过}{滤}挂辅助程序,这台电脑就不再是自己的了,游戏玩家在电脑中的一切都将暴露在黑客眼前。
1

0×2死神外{过}{滤}挂分析
该游戏外{过}{滤}挂以死神为名,运行后会释放出恶意木马程序。
2
木马流程图

3
释放出的木马exe经简单花指令后,执行内存装载函数,传入名为PluginMe的导出函数执行。

4
木马进一步在内存解密出一个PE文件

5
解密算法使用简单的凯撒移位+异或实现,通过内存Dump出解密文件可知为一个DLL模块,分析后可知该DLL为一个支持CMD后门、屏幕监控、摄像头监控、语音监控、键盘记录和DDoS攻击等功能的恶意远程控制木马,木马使用双C2来进行肉鸡远程操控。
6
C2地址1:keikei.f3322.net

7
C2地址2:ip.yototoo.com

8
键盘记录功能

9
屏幕信息监控

10
ShellExecute指定参数执行,浏览器带参指定执行

11
创建管道形式的CMD后门

12
窃取进程信息

13
窃取窗口信息

14
DDoS网络攻击

15
网络攻击相关代码

16
清除系统日志

17
指定提权强制关机、注销、重启

18
拉取云端文件下载执行

19
下载者功能

20
卸载自身功能模块文件,从此处也可知该木马还支持下发插件形式的语音、摄像等隐私窃取功能。

0×3 溯源分析
1. 作者溯源
通过搜索引擎查找关键字”死神”外{过}{滤}挂辅助程序,可在某外{过}{滤}挂编程论坛找到疑似作者发布的招收代{过}{滤}理信息页面。
2. 代{过}{滤}理溯源
通过搜索引擎查找该辅助代{过}{滤}理信息,进一步找到一个名为“ 林天科技网的网盘地址,可发现该网盘售卖辅助品牌品类繁多,有死神科技、虐杀、瘟疫等多个“品牌”的辅助在售卖。

22
下载网盘中最新版的死神3.0版本,解压后打开作者留下的使用说明,可发现作者提示用户第一句话为:先关闭杀毒软件,以防止“误杀”。

23
实际测试网盘中的3.0版本依然会释放出名为Server.exe的恶意远程控制木马。

24
通过腾讯御见威胁情报中心平台查看C2地址:Ip.yototoo.com信息,可发现该C2关联到大量的恶意样本,均为后门远程控制类型,可知该辅助作者擅长使用特洛伊类型木马。目前暂不清楚此次木马投放行为为死神辅助代{过}{滤}理作为,还是死神辅助作者所为。

25

0×4安全防范建议
1. 不建议游戏玩家使用外{过}{滤}挂、游戏辅助工具等软件在游戏中作弊;
2. 如果某个外{过}{滤}挂或游戏辅助工具建议你在运行前关闭杀毒软件,应小心这是陷阱,病毒木马传播者一贯用类似手段欺骗用户退出杀毒软件;
3. 推荐用户使用腾讯电脑管家拦截假冒游戏外{过}{滤}挂或游戏辅助工具的病毒木马。

0×5 IOCs
MD5
69197c047e2c1737c0f29b02ad0cb6ca
cbfe69aa36b3bb2b1bd9f5789013da56
C2
keikei.f3322.net
Ip.yototoo.com

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 18:20 , Processed in 0.130204 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表