中国房产网 --中国房地产投融资信息第一门户 -www.juzhu.org-

房产新闻

合作动态

时事焦点

规划设计

新金融

财经视角

活动交流

在线咨询

/ - 搜文章

您当前位置:网站首页 >> 茶余饭后 >> 社科 >> 技术大牛把黑客人肉了?过程太美必须看看


技术大牛把黑客人肉了?过程太美必须看看

  今天早上刚起来,一个朋友就发给我一个文件,一看文件的名字是拿货清单.tbz2,我第一感觉是病毒,然后就打电话告诉我的那个朋友,她的QQ号码可能被盗了,让她赶快修改密码,她改完之后,这件事情本来应该结束的,因为我的好奇心,还有发现这个木马是免杀的,所以就去分析了下这个木马,然后就有了后来的事情。

 

  样本图标:

  是不是感觉很诡异,压缩前的文件竟然比压缩后的文件还要大5000,我用Winhex打开,发现里面有这个完整的PE,才看了下原来压缩比例是100%,根本就没进行压缩算法,而且在压缩包的文件末尾还加了好多没用的数据,看来这作者是在构建畸形压缩包,起到QQ传输木马不被发现里面包含PE的作用。

 

 

  用户通过打开压缩包,双击运行压缩包里的木马后,木马会运行起来,然后从自身资源释放一张图片到电脑上,通过系统调用打开图片,起到迷糊用户的目的,用户以为打开的是图片,如图:

  但是他们不知道其实木马还没结束,它会把自身复制到临时目录下,然后通过WinExec这个API,传递第二个参数是SW_HIDE把自身重新运行起来,如图:

 

  再次运行起来的木马,因为是隐藏运行的,所以会走下面的木马流程,如图:

 

  

  注册一个窗口:

 

  动态创建控件,伪装QQ重新登录的界面,如图:

 

 

  设置控件的风格,如图:

 

  构造的界面如图所示,感觉挺真的,不认真看真看不来:

 

 

 

  解密字符串,解密出腾讯的窗口类型,如图:

 

  设置定时器,监控QQ窗口是否被激活,如图:

  通过NtSuspendProcess把QQ进程挂起,弹出钓鱼的界面,如图:

 

  定时器函数里的作用就是,每过固定间隔,检测一下窗口类为TXGuiFoundation的窗口是否存在,如果存在的话,就弹出钓鱼的窗口,如图:

 

  用户点登陆后,会弹出2次,如果2次密码输入的一样,就会把密码发送到远程服务器,如图:

  这是发送到远程服务器的地址,如图:

 

 

  通过对这个地址的挖掘,发现地址:http://119.163.172.10/socket/ste.php是一个企业的网站,如图:

 

 

 

  只有一个解释就是,这个网站被入侵了,木马作者把转发脚本放到网站上,靠转发脚本把窃取到的账号和密码发到他真正的服务器,木马作者之所以这么干,可能是因为360会拦截发往黑域名或者黑IP的数据,作者是靠企业网站做中转,这样木马向这个中转网站发数据,360不会拦截,因为这些企业网站是可信域名。

 

 

  于是就试图找下这个站的漏洞,原来这个站是用的老版本的thinkphp,存在漏洞,漏洞地址为:http://xxx.xxx.xxx.10/outbound/index.php/xxx/xxx/xxx/%7B$%7B@eval(phpinfo())%7D%7D截图:

 

 

 

 

  于是挂上菜刀,发现/var/www/html/socket/目录下的确实存在一个转发脚本,是4月30号刚上传上去的,可以看出来这人是通过比较老的THINKPHP漏洞拿到的webshell,如图:

 

 

 

  这个脚本具有转发数据的功能,附加上中毒者的IP后转到真正的服务器地址:http://122.0.71.39:8080/admin/sub.asp,也就是QQ木马的箱子地址,如图:

 

 

  通过对地址的进一步挖掘找到了作者的QQ号,和他女朋友的QQ:

 

 

  木马作者的QQ:4102*42**

 

 

 

估计是他女朋友的QQ号:529944***

 

 

  另一个女朋友吧?

  245735*** 真实姓名 宋*

 

  作者的百度知道:http://www.baidu.com/p/410264228?from=zhidao,木马作者发的易语言帖子,2011年就开始找写木马的高手了。http://bbs.eyuyan.com/u.php?uid=303905

 

 

 

 

  使用木马的诈骗者用的工具,从通过这个软件去采集信息,采集一些大企业的邮箱,通过邮箱群发工具把木马发出去:

 

 

 

  今天没事就去互联网上随便搜了搜,人肉结果如下,拒绝查水表,谢谢!

 

  通过QQ查看到QQ微博帐号是a4102642**,得知这人的邮箱地址可能是:a4102642**@163.com a4102642**@126.com

 

 

  然后通过支付宝的转账功能看了下,果真有个163的邮箱:

  真名:*耀泉,和QQ资料相符:可以看出就是这人的真实姓名

 

 

  然后就进去他邮箱了:

 

 

 

 

  已发邮件里找到了2011年的邮件,发现他2011年在通过SMTP协议的木马盗取QQ帐号密码:

 

  通过邮箱里的文件,找到了一个银行卡号,正是作者的名字:

 

 

 

 

  拒绝查水表,我都删掉了,密码也改回来了!
  希望木马作者回头吧。

2017-10-09 11:18:41 来源:中国房产网 浏览:1123

站内评论
网名:
评论:
验证: 共有0人评论查看所有评论(网友评论仅为个人看法,并不表明本站同意其观点或证实其描述)