搜索
查看: 4728|回复: 48
收起左侧

[其他相关] 【已结束】“驱动人生”幕后组建的僵尸军团?

  [复制链接]
191196846
发表于 2018-10-31 15:47:54 | 显示全部楼层 |阅读模式
本帖最后由 191196846 于 2018-10-31 21:28 编辑

10.31 21:00
得到官方解释:


驱动人生管理出现严重漏洞,导致之前的一台服务器无人管理,被人拿来恶意利用,下发木马,公司高层并不知情。


驱动人生会承担相应责任



事情就这样,我也不好做出评论……吐血……好累……官方花了2个小时跟我解释前因后果……




以下是跟厂商的交流,在最终结果出来之前,还是不要先妄下结论哦~


10.31 16:30

“驱动人生”官方加我QQ,表示这个木马是15-16年的事,并且是关于“甜椒跟奇兔刷机合作期间”的事,跟现在无关

然后我看了下毒霸提供的IOC有关于        tipsdll.dll的部分(这个DLL就是云控核心,用来解密加载“暗刷”模块,详见报告)

发现有3个版本:

16年的tipsdll.dll https://www.virustotal.com/#/fil ... 778b9276fb9/details
17年的tipsdll.dll https://www.virustotal.com/#/fil ... 7a9bac4866f/details
18年的tipsdll.dll https://www.virustotal.com/#/fil ... c3ea5fadcd0/details

哇,还真的是16年的事诶
16.png 17.png 18.png


从截图上看,16年的签名确实不是驱动人生的,正是毒霸披露出来的“猫哈”、“爱返利”等公司。

然后17.18就全部都是驱动人生签发的,也出现在毒霸的报告中,我问官方,这又是怎么回事呢?

你怎么解释18年的签名呢?


官方:
中间被XX科技利用了。暗云。

暗云?

随后她给我发了几张截图,并且说是被恶意利用了

截图暂时因隐私问题取消




我翻了翻友商的报告:暗云III木马传播感染分析

腾讯原文:

条件判断合格后,将获取到的信息上传到云端,并从云端拉取配置信息:

该信息主要包括mac,硬盘序列号,用户id、取到号、文件名等

拉到的配置信息为:

[Update] Version=2 Url=http://update.nj***.com:8089/config/LDrvSvc.zip CmdLine=rundll32.exe LDrvSvc.dll,RundllInstall Dir=%appdata%\LDrvSvc

随后进行下载,并通过rundll 调用其中的驱动人生的LDrvSvc.dll进行安装,该dll自带安装功能。

对,确实跟截图上面的LDrvSvc.dll一样,是被利用了。

但这个和tipsdll.dll有什么关系呢?tipsdll.dll本来就是黑的,怎么被利用,文件名也对不上号
而且暗云III是17年的呀

牛头不对马嘴呀[:01:]

102431xcpx95ch958fg6ss.jpeg.thumb.jpg tipsdll.dll.jpg


然后官方客服说要让技术直接找我说明,可能需要等到明天,她也会找安全厂商叫他们解释下

态度还行呢














被删原文:https://bbs.kafan.cn/thread-2135636-1-1.html

官人在未明确表示原因的情况下删除原文,基本可以排除因为消息不属实而删除。

感谢海颜贝儿提供的链接:https://www.saowen.com/a/5465381 ... 4ee5bd31ef7da918843

感谢pal提供的快照








评分

参与人数 3人气 +5 收起 理由
JAYSIR + 3 版区有你更精彩: )
a445441 + 1 版区有你更精彩: )
利刀1937 + 1 版区有你更精彩: )

查看全部评分

海颜贝儿
发表于 2018-10-31 16:13:12 | 显示全部楼层
本帖最后由 海颜贝儿 于 2018-10-31 16:20 编辑

https://yunpan.360.cn/surl_ymWJg66amG3  提取码 5271 pdf版本
再补一个网页版,我通过谷歌搜到了一个网页,原始的文章不知道是不是从这里流出的

繁中:

https://hk.saowen.com/a/54653814 ... 4ee5bd31ef7da918843

简中:

https://www.saowen.com/a/546538143fa77c62a3e9cb76f3d2a7be05e2ef56c3ee94ee5bd31ef7da918843


评分

参与人数 1人气 +3 收起 理由
191196846 + 3 版区有你更精彩: )

查看全部评分

天道酬善
发表于 2018-10-31 16:09:23 | 显示全部楼层
删除的帖子还在讨论,这样好吗?
191196846
 楼主| 发表于 2018-10-31 16:19:25 | 显示全部楼层
天道酬善 发表于 2018-10-31 16:09
删除的帖子还在讨论,这样好吗?

能给出个理由为何删帖就不讨论了
天道酬善
发表于 2018-10-31 16:22:33 | 显示全部楼层
191196846 发表于 2018-10-31 16:19
能给出个理由为何删帖就不讨论了

官方删除了的,应该是违规的。
既然违规的,还讨论,是否就不合适了?
191196846
 楼主| 发表于 2018-10-31 16:23:51 | 显示全部楼层
天道酬善 发表于 2018-10-31 16:22
官方删除了的,应该是违规的。
既然违规的,还讨论,是否就不合适了?

请问违规了啥?
天道酬善
发表于 2018-10-31 16:32:56 | 显示全部楼层

这么高深的问题,我不知道。
191196846
 楼主| 发表于 2018-10-31 19:55:48 | 显示全部楼层
已更新
phyrus
发表于 2018-10-31 20:10:23 | 显示全部楼层
一头雾水,真相扑朔迷离
191196846
 楼主| 发表于 2018-10-31 20:11:30 | 显示全部楼层
phyrus 发表于 2018-10-31 20:10
一头雾水,真相扑朔迷离

我觉得官方的解释很迷
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|优惠券| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-4-20 16:55 , Processed in 0.045296 second(s), 6 queries , MemCache On.

快速回复 返回顶部 返回列表