查看: 7395|回复: 48
收起左侧

[其他相关] 【已结束】“驱动人生”幕后组建的僵尸军团?

  [复制链接]
Jerry.Lin
发表于 2018-10-31 15:47:54 | 显示全部楼层 |阅读模式
本帖最后由 191196846 于 2018-10-31 21:28 编辑

10.31 21:00
得到官方解释:


驱动人生管理出现严重漏洞,导致之前的一台服务器无人管理,被人拿来恶意利用,下发木马,公司高层并不知情。


驱动人生会承担相应责任



事情就这样,我也不好做出评论……吐血……好累……官方花了2个小时跟我解释前因后果……




以下是跟厂商的交流,在最终结果出来之前,还是不要先妄下结论哦~


10.31 16:30

“驱动人生”官方加我QQ,表示这个木马是15-16年的事,并且是关于“甜椒跟奇兔刷机合作期间”的事,跟现在无关

然后我看了下毒霸提供的IOC有关于        tipsdll.dll的部分(这个DLL就是云控核心,用来解密加载“暗刷”模块,详见报告)

发现有3个版本:

16年的tipsdll.dll https://www.virustotal.com/#/fil ... 778b9276fb9/details
17年的tipsdll.dll https://www.virustotal.com/#/fil ... 7a9bac4866f/details
18年的tipsdll.dll https://www.virustotal.com/#/fil ... c3ea5fadcd0/details

哇,还真的是16年的事诶



从截图上看,16年的签名确实不是驱动人生的,正是毒霸披露出来的“猫哈”、“爱返利”等公司。

然后17.18就全部都是驱动人生签发的,也出现在毒霸的报告中,我问官方,这又是怎么回事呢?

你怎么解释18年的签名呢?


官方:
中间被XX科技利用了。暗云。

暗云?

随后她给我发了几张截图,并且说是被恶意利用了

截图暂时因隐私问题取消




我翻了翻友商的报告:暗云III木马传播感染分析

腾讯原文:

条件判断合格后,将获取到的信息上传到云端,并从云端拉取配置信息:

该信息主要包括mac,硬盘序列号,用户id、取到号、文件名等

拉到的配置信息为:

[Update] Version=2 Url=http://update.nj***.com:8089/config/LDrvSvc.zip CmdLine=rundll32.exe LDrvSvc.dll,RundllInstall Dir=%appdata%\LDrvSvc

随后进行下载,并通过rundll 调用其中的驱动人生的LDrvSvc.dll进行安装,该dll自带安装功能。

对,确实跟截图上面的LDrvSvc.dll一样,是被利用了。

但这个和tipsdll.dll有什么关系呢?tipsdll.dll本来就是黑的,怎么被利用,文件名也对不上号
而且暗云III是17年的呀

牛头不对马嘴呀[:01:]




然后官方客服说要让技术直接找我说明,可能需要等到明天,她也会找安全厂商叫他们解释下

态度还行呢














被删原文:https://bbs.kafan.cn/thread-2135636-1-1.html

官人在未明确表示原因的情况下删除原文,基本可以排除因为消息不属实而删除。

感谢海颜贝儿提供的链接:https://www.saowen.com/a/5465381 ... 4ee5bd31ef7da918843

感谢pal提供的快照








本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 3人气 +5 收起 理由
JAYSIR + 3 版区有你更精彩: )
a445441 + 1 版区有你更精彩: )
利刀1937 + 1 版区有你更精彩: )

查看全部评分

lastpass
发表于 2018-10-31 16:13:12 | 显示全部楼层
本帖最后由 海颜贝儿 于 2018-10-31 16:20 编辑

https://yunpan.360.cn/surl_ymWJg66amG3  提取码 5271 pdf版本
再补一个网页版,我通过谷歌搜到了一个网页,原始的文章不知道是不是从这里流出的

繁中:

https://hk.saowen.com/a/54653814 ... 4ee5bd31ef7da918843

简中:

https://www.saowen.com/a/546538143fa77c62a3e9cb76f3d2a7be05e2ef56c3ee94ee5bd31ef7da918843


评分

参与人数 1人气 +3 收起 理由
Jerry.Lin + 3 版区有你更精彩: )

查看全部评分

天道酬善
发表于 2018-10-31 16:09:23 | 显示全部楼层
删除的帖子还在讨论,这样好吗?
Jerry.Lin
 楼主| 发表于 2018-10-31 16:19:25 | 显示全部楼层
天道酬善 发表于 2018-10-31 16:09
删除的帖子还在讨论,这样好吗?

能给出个理由为何删帖就不讨论了
天道酬善
发表于 2018-10-31 16:22:33 | 显示全部楼层
191196846 发表于 2018-10-31 16:19
能给出个理由为何删帖就不讨论了

官方删除了的,应该是违规的。
既然违规的,还讨论,是否就不合适了?
Jerry.Lin
 楼主| 发表于 2018-10-31 16:23:51 | 显示全部楼层
天道酬善 发表于 2018-10-31 16:22
官方删除了的,应该是违规的。
既然违规的,还讨论,是否就不合适了?

请问违规了啥?
天道酬善
发表于 2018-10-31 16:32:56 | 显示全部楼层

这么高深的问题,我不知道。
Jerry.Lin
 楼主| 发表于 2018-10-31 19:55:48 | 显示全部楼层
已更新
至高神
发表于 2018-10-31 20:10:23 | 显示全部楼层
一头雾水,真相扑朔迷离
Jerry.Lin
 楼主| 发表于 2018-10-31 20:11:30 | 显示全部楼层
phyrus 发表于 2018-10-31 20:10
一头雾水,真相扑朔迷离

我觉得官方的解释很迷
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 16:51 , Processed in 0.122361 second(s), 20 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表