contexte description de

Noir produit en utilisant l'espace QQ pour mener à bien le détournement de la publicité de masse de l'affaire, sûrement, nous avons vu, mais uniquement pour la libération des revenus causés par la publicité de drainage, ils ne semblent pas satisfaits.

Récemment, Duba « Catching the Wind » Système de surveillance de la perception de la menace pour le piratage en ligne pour mener un jeu d'échecs, et en même temps être en mesure de la publicité de masse dans le client de paris Ligue pour effectuer le drainage des chevaux de Troie. Et comme les précédents échecs des chevaux de Troie différents, précédents hommes jeu d'échecs souvent trojans il suffit d'utiliser Baidu optimisation SEO ou PPC, laissez client chalet hiérarchisant pour attirer les utilisateurs à télécharger, mais cette fois ceux qui ont changé leur attitude, choisissez prendre l'initiative d'installer un jeu de fabricants réguliers d'échecs, tels que: client local 1378, assemblage, Chen jeux long de la falsification, l'interception suggérant de son message de sécurité, et finalement voler les mots de passe de compte et or jeu.

Pour le drainage Envoyer des annonces dans le client Trojans League, la première fois constaté que les messages de l'API auteurs de Troie envoyés en appelant la Ligue locale du client Legends, lorsque la fin d'un enregistrement de jeu télévisé, il envoie la publicité ou d'un groupe de jeux lien, pour éviter message intercepté par filtration, en utilisant également alternatif manière d'interception d'homophone contourner le filtre.

Selon l'analyse des échantillons liés à la propagation, nous croyons que la source de l'échantillon de l'environnement Internet, au cours de l'analyse, la fonction du plug-virus est mis à jour quotidiennement, seule infection variante est élevée 3W +.

Analyse technique

Les principaux processus de fonctionnement du virus comme suit:

Le virus est en cours d'exécution, se copie à la première d'un dossier au hasard et nommé system32 renomme lui-même déguisé en système de fichiers, il sera camouflé liste des noms de fichiers comme suit:

Ensuite, continuer à télécharger un fichier image cryptée à partir du serveur après que le fichier est décryptée lien vers un autre site Web, la également des points à un fichier d'image lien crypté, décrypté à nouveau le fichier image, trouvé être un fichier DLL, la fonction principale des fichiers DLL est de télécharger un autre fichier cheval de Troie 2: Ligue de la publicité trojans chevaux de Troie et les hommes de jeu d'échecs, les éléments suivants sont des analyses spécifiques:

Un cheval de Troie: héros troyen publicité affilié

Les auteurs de virus cheval de Troie avance pour télécharger des images sur le serveur public (Sina, Baidu, NetEase) pour empêcher la traçabilité des analystes de sécurité, traquer sa véritable identité, télécharger des images utilisées pour placer le serveur comme suit:

Mais en fait d'utiliser l'image Sina en dehors du lien de la chaîne, on peut faire remonter à la source de l'anti-Cha, tels que les liens d'images Sina utilisés dans l'image ci-dessus, les uploaders d'information anti-trouvé comme suit:

Date de dépôt de la première course, le cheval de Troie de Septembre 2018 pour commencer actif dans:

Le fichier téléchargé, le même camouflage fichier image cryptée, décryptée, encore un fichier DLL, et cette DLL est le cheval de Troie ultime. Les virus utilisent c: \ fichier document sdlfkjsldjfsldkfjs.txt comme le drapeau de commutation, si le fichier existe, l'opération suivante est pas effectuée, le fichier DLL contient deux fichiers PE supplémentaires: fichier de bibliothèque CURL et un processus d'injection LeagueClient.exe fichier. Une fois le chargement des fichiers DLL pour exécuter, crée d'abord trois fils:

un fil

Les données statistiques communiquées au serveur: http: //api.hjhmc.com/c.php md5 = / AbW5ekasENZnoFYhA86kLY2HNZ5A2XRowvOg / qYVq6hDUJgQHR / UQ ==, l'arrière du site au panneau de pagode ?:

enfiler deux

Ligue de conduite pour les opérations d'injection de clients, lui-même a publié un fichier PE, injecté dans LeagueClient.exe, principalement pour obtenir une valeur auth-jeton et la valeur app-port, puis obtenir la valeur résultante est stockée dans C: \ a. dat, le message pour les liaisons de transmission ultérieures qui construction utilisé:

trois fils

La valeur de auth-jeton et la valeur obtenue app-port, pour construire la liaison de transmission de message correspondant, et transmet ensuite les informations de publicité correspondant, l'achèvement de l'envoi de publicité paris:

Toutefois, en raison des services connexes défaillance de la liaison ( temporairement incapable d'obtenir les données de configuration de l'information publicitaire correspondant, mais ces données de remplacement, ainsi que le dictionnaire en ligne, selon un des chevaux de Troie intégré mot-clé commentaires, devinez le même type de cheval, Sent, est des types de paris d'annonces:

En plus d'envoyer des publicités dans le client de paris Ligue, le virus profitera de QQ connexion rapide, voler valeur ClientKey, puis parler de l'espace, en ajoutant à parler du moment, de la publicité envoyer régulièrement:

Cheval de Troie II: hommes jeu d'échecs trojans

Le jeu d'échecs de cheval de Troie fiche principalement pour les quatre jeux suivants:

Cheval de Troie trouvé en détectant plus de 4 jeux jeu fenêtre principale de processus, puis injecté le module DLL par fil de piratage à distance, accrochez la fonction spécifiée, obtenir des informations de compte lorsque l'utilisateur est hors de la salle de jeux, accès monnaie du jeu, modifier et mot de passe compte de téléchargement et d'autres opérations.

Pour « 1378 Game Center » ceux libérés, par exemple, lorsque la fenêtre de détection intitulée « 1378GameCenter », sera publié à la DLL C: \ Windows Temp \% d.dll et injectés dans le processus de jeu.

Piratage module de DLL de processus après que le jeu est chargé, la fonction de raccordement sera fonctions liées au jeu, jeu d'interception à l'intérieur de l'information. Lorsqu'un utilisateur se connecte dans la salle, l'accès à l'argent, pour lier les mots de passe du dégroupage, le changement et d'autres opérations, pour obtenir les mots de passe de compte d'utilisateur, les mots de passe bancaires, de change et d'autres données de jeu, le cryptage et téléchargées sur le serveur.

Lié au code, le code suivant est effectué pour une pluralité de fonctions d'accrochage de la DLL:

Un total de cinq fonctions de raccordement:

Fonction Hook 1: messages d'interception de jeu normales et traitées séparément:

La fonction de crochet pour le journal de l'utilisateur dans le jeu pour ouvrir la banque, monnaie du jeu d'accès, entrez dans la salle de jeu, lier les opérations de dégroupage et d'autres sont réalisés des actes d'enregistrement, et l'utilisateur et les informations de compte, mots de passe et autre monnaie de jeu rapporté au serveur distant.

Les données déclarées dans le texte brut est le suivant:

Pr_ID =% d, Pr_Mark =% d, Pr_Money =% d, Pr_Name =% s, Pr_Msg = log dans le jeu, Pr_Ver = 03-11, Pr_ID =% d, Pr_Accunot =% s, Pr_Accunot_Key =% s, Pr_Code =% s, Pr_ID =% d, Pr_Common =% s, Pr_MAC =% s, Pr_ChoiceLongin =% d, Pr_ID =% d, en ligne = 12345,

Ce qui pour le journal dans le jeu, entré dans la pièce, changer le mot de passe de trois recours collectif pour obtenir et signaler le code machine de l'utilisateur Pr_MAC pour les numéros de lavage de dégroupage à distance, compte de connexion à distance lorsque vous êtes invité remplacera les nouvelles locales, pour empêcher les utilisateurs de trouver le compte volé:

Fonction Hook 2: indique l'utilisateur entre le nom de la pièce: Pr_ID =% d, Pr_Room = nom de la salle,

Crochet Fonction 3: rapports que l'utilisateur quitte la chambre: Pr_ID =% d, Pr_Msg = quitter la salle,

Indiqué lorsque l'utilisateur quitte la salle \ quitter le jeu \ comptes commutateur: fonction crochet 4

5 fonction crochet: pour voler des points (voler la monnaie du jeu)

appel de fonction Suspicion pour terminer le jeu dans le jeu pour voler de l'argent, temporairement incapable d'appels de déclenchement.

Format de rapport:

Pr_ID =% d,% d = Pr_Money, Pr_Toal =% d, Pr_Bank_Money =% d,% d = Pr_Steal_Bank, Pr_Msg = volent points dans la

Rapports fonction de téléchargement pour recueillir les informations de compte d'utilisateur du jeu, et envoyer un paquet rythme cardiaque toutes les 30 secondes, les données du rapport est envoyé au lien 129.211.126.131/index.jsp?Act=Update&Data=%s après base64 codés et chiffrés RC4

Les éléments suivants sont recueillis sur les informations de compte serveur auteurs de virus:

De plus, les statistiques www.hjhmc.com de serveur de rapports virus, vous pouvez voir la quantité de statistiques d'infection par jour, les éléments suivants sont infectés par l'un des canaux des données déclarées:

Annexe du CIO

MD5:

32abecf1d0e8e12f196dcf4e49d1bd92 f658d68f85a192e9839d5ddc7c526aec 06b26b1db9eb41a6b2d13b1a83acc9b2 f447d59a958733a5de72fe20beebb4a2 c0511a18f46de23819edfbeccff0513b 6d98c1dfa61f304a9222c795329a44c86e9eb752f1fdf2814d82fff29bf258505e3a3c1dbe6a4b39a6cd146380b452dc 31558c5ff2dbd2d57159a804c770821b fa2fd16e6db11c3ae0e92a9f85c7fcb2

URL:

https://weibo.com/u/6727188567

* Auteur: léopard de sécurité, tiré à part FreeBuf.COM