写点什么

犯罪黑客线上拉人入伙,流窜多地网吧植马,仅为盗取游戏账号

发布于: 2020 年 07 月 17 日
犯罪黑客线上拉人入伙,流窜多地网吧植马,仅为盗取游戏账号

2020年6月,警方破获一起大规模网吧非法植马案件,该案件主要为通过上机植马的方式,向多家网吧服务器植入“STUpdater.exe”木马,并对网吧服务器及主机进行远程控制,从而盗取大量游戏账号;在进一步确认后发现,广州、合肥、成都等多地网吧也接连出现类似情形,对网络安全造成巨大危害,严重扰乱了社会秩序。



360安全大脑在接到警方协助侦查需求后,结合安全大数据分析研判,成功掌握了该攻击木马的入侵原理、最终目的以及控制服务器地址等重要信息,并通过追踪溯源,最终发现散布木马的作案元凶。



目前,在多地警方的统一部署与通力配合下,作案人员已被绳之以法,关于案件的后续侦办正在有序推进中。



犯罪团伙周转多地散布病毒

汉中、咸阳、西安等网吧频现木马危机



警方在接到报案后,前往多家事发网吧对服务器进行勘验;在调取近期监控视频和上机记录的过程中,发现木马植入几分钟前,存在可疑人员使用虚假身份证开机操作,并在几分钟后结账下机。



根据该虚拟身份进行轨迹核查得知,犯罪嫌疑人5月23日由四川简阳出发,乘坐动车、飞机途经汉中、咸阳、西安等地,并在沿途网吧皆完成植马操作。



360安全大脑在整合警方提供信息后发现,不法分子主要通过线上招募的方式,安排大量人员前往不同地区的网吧门店,使用客户机来攻击网吧服务器,且通常只上机5分钟左右就离开,行踪十分隐蔽。





同时,为了拓展犯罪行径,作案人员在进行线上招募时,主要通过在社交软件上发布一些诱人的“小广告”,来吸引一些想赚外快的代理人员,帮助他们完成网吧攻击木马的投放。





因此,存在多个作案帮手同样按照一定路线到沿途网吧,使用远程控制软件进行植马,广州、合肥、成都等多地网吧皆沦为攻击目标。





360安全大脑在进一步的分析研判后发现,作案团伙如此大动干戈的种植木马,并非企图利用网吧电脑进行非法挖矿,而仅是为了盗取网吧玩家的游戏账户。目前,警方已抓获作案团伙管理人员,并发现涉案人员20余人,在多省市网吧非法植马。



吸睛福利诱导用户下载使用

“网游加速器”成盗号木马藏身之所



在对该木马攻击进行追踪溯源后,根据已成功掌握的入侵原理、最终目的以及控制服务器地址等重要信息,360安全大脑分析出了该作案团伙的整体运行流程。其中,作案团伙利用多样的攻击方法,对“易乐游”、“网维大师”和“云更新”3种主流网吧管理平台实施入侵,从而完成了大规模的网吧植马。





通过360安全大脑关联“STUpdater.exe”木马相关的攻击链,快速定位到了网吧攻击木马的传播载体是一款经过修改的“熊猫加速器”。有意思的是,该软件安装完成后,会通过“网吧安装激活送奖励”等福利提示,将自己包装成看似正常推广的“合法”软件,来吸引用户使用。





而实际上,安装目录里会添加一个捆绑的木马模块“wke.dll”,该模块利用DLL侧加载技术在熊猫加速器主程序启动时自动运行。运行后首先会检测网吧环境和资质,验证通过后就联网下载攻击网吧服务器的工具,联网时会附带传播载体的渠道号(内置于每个传播软件中,本例为“1986”)方便区分和控制。





攻击工具主要针对3种主流的网吧管理平台,分别是“易乐游”、“网维大师”和“云更新”。针对每种平台使用的攻击方法各有差异,且部分平台甚至存在多种攻击方法,但攻击原理其实都是利用平台的漏洞来向网吧服务器上传木马模块“AppRead.exe”。



比如针对“易乐游”平台包含2种攻击方法,其中一种是直接向该平台的特定服务端口发送构造数据后,实现了服务器木马的植入和启动。





“AppRead.exe”木马存在两种不同类型的版本,但本质上都是一个包含远控功能的后门。比如其中一版自制的简易后门使用内置C&C列表分别尝试远程连接进行上线,成功后则循环等待接收控制端指令。





另外一版除了包含Gh0st远控模块,还会下载一个驻留更新的程序“STUPdater.exe”,该程序使用计划任务在每天中午12点左右自动运行。





攻陷大量的网吧服务器后,作案团伙在6月7号左右开始下发一套盗取游戏账号的木马程序“Mount.exe”,该程序负责将核心盗号模块“zlib1.dll”植入到网吧客户端运行。





盗号模块“zlib1.dll”内嵌一个模块“PersonCard.dll”,PDB路径信息为“H:\股票信息\QQHook\ReflectiveDLL\Publish\Release\BaseDll\PersonCard.pdb”透露其是盗取QQ密码的木马。该模块通过检测窗口类名称来查找相关的进程,并注入盗号代码到对应的进程中执行,数据回传的C&C地址为“123.56.86.25”。





在协助抓捕作案人员的过程中,360安全大脑根据网吧服务器木马使用的C&C地址 “www.swjoy.org” 和“www.barserver.cn”查询whois域名注册信息,发现注册人出自同一可疑人员,注册时间与该案件发生时间段也比较吻合。





而后,360安全大脑结合安全大数据追踪溯源,最终关联锁定该木马病毒作者。



360安全大脑协助追捕作案元凶

切忌沉迷游戏踏上犯罪不归途



也许是过分沉迷游戏世界,该木马作者社交软件个人说明中收藏的github链接,表明其也在研究一些网络游戏的内核代码,但最终还是走向了偷盗游戏账号的违法犯罪之路。





不得不说,适量游戏可以有效缓解日常生活中的压力,但如果过度沉迷游戏,甚至因此而走向犯罪之路,显然得不偿失。针对此次入侵网吧服务器的病毒木马,360安全大脑已实施全面拦截和查杀,为避免这类攻击态势再度蔓延,建议广大用户做好以下防护措施:



1、及时前往weishi.360.cn,下载安装360安全卫士,强力拦截查杀各类病毒木马;



2、使用360软件管家下载软件,360软件管家收录万款正版软件,经过360安全大脑白名单检测,下载、安装、升级,更安全;



3、提高安全意识,为个人电子账户设置强密码和多重验证;



4、定期检测系统和软件中的安全漏洞,及时打上补丁。





0x05 附录IOC



文件哈希



5a3a410e139eed6652c9e71ea625de29             熊猫加速器.exe



e0c8a4c5149c91b9cc8afb84e0d5fcc8         wke.dll



a267d46932c1b39519142bb4cfad465a             AppRead.exe



eebb08efff13dd2100fbc81513c6c671         STUPdater.exe



9a640d97be9f7af1ad7122ce3e43c74f        Mount.exe



c25442259c70d23f501907b2174c6a35              zlib1.dll



2444596d72942cdbb9944c14050a2be2     PersonCard.dll



C&C



123.56.86.25



47.110.10.104



www.swjoy.org



www.barserver.cn



128.1.137.26.ipssh.net



0x06 参考链接



https://www.shykx.com/category/416.html



https://mp.weixin.qq.com/s/vbDm_Cub4cHdPY8HW_Ickg



https://bbs.txwb.com/thread-2080252-1.html



发布于: 2020 年 07 月 17 日阅读数: 386
用户头像

还未添加个人签名 2020.06.19 加入

还未添加个人简介

评论

发布
暂无评论
犯罪黑客线上拉人入伙,流窜多地网吧植马,仅为盗取游戏账号