52PCGame

 找回密码
 立即注册

QQ登录

只需一步,快速开始

查看: 766|回复: 49

[转帖] 想不到吧,现在的盗号木马都开始用搜索引擎打广告了

[复制链接]

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

发表于 2019-2-24 01:30 | 显示全部楼层 |阅读模式
来自 宅客


想不到吧,现在的盗号木马都开始用搜索引擎打广告了。
在某搜索引擎中直接搜索“集结号”,搜索结果中有一定的频率会在前两条中出现带广告标记的非官方“集结号”游戏的网址。

直接点击打开第一条网址,进入该网站,看到页面做的很逼真,高仿正规棋牌游戏网站,实际上点击任意按钮却会弹出同一个下载地址如下所示,下载的文件即是包含盗号木马的“集结号”游戏安装包。

除了直接在搜索引擎中输入“集结号”外,测试过程发现搜索“集结号吧”却可以稳定在第一条搜索记录里看到上述木马钓鱼网址。

然而避开该记录点击进入第二条真正的“集结号吧”网址后,发现这条诱导广告还是紧随而至,标题写着“正版下载集结号”,打开后却依然是那个钓鱼网站。



来自群组: 帝國復興黨
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-2-24 01:30 | 显示全部楼层

再次忽略这条广告,查看贴吧里的内容可以了解到一些“集结号”相关的行情。首先关注到这类棋牌游戏还是有不少用户在玩,并且似乎很容易上瘾,甚至很多用户都是往里面充了不少钱,以下帖子为某用户的吐槽:

接着发现贴吧里不少用户在反馈这个行业里经常被骗,似乎有一类专门倒卖“虚拟金币”的代理被称呼为“银商”,很多用户通过不可靠的渠道找他们充值结果被骗了。

另外有用户在贴吧里反馈自己的账户无故被盗,虚拟金币被偷走,再次印证了这个圈子里面的乱象丛生。

实际上,此类钓鱼网站的传播和拦截实际上由来已久,作案团伙制做了大量的钓鱼页面来进行这种黑色产业,下图所示是从部分钓鱼网址提取的子域名前缀和主域名两个部分,作案特征相对比较明显。
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-2-24 01:31 | 显示全部楼层

▲图片来源:360
木马分析
根据360安全大脑监测,这款通过搜索引擎广告位进行大量传播的游戏盗号木马可能对用户的“虚拟财产”可能造成一大波损失。这里以上述被推广的钓鱼网站下载的游戏安装包为例分析了盗号木马的工作流程。

下载的安装包是将官方的“集结号”游戏模块重新打包,捆绑自己的恶意模块,直接提取文件发现需要密码:

捆绑的恶意模块如下,这些模块是否安装释放要根据指定的“checkP1”函数进行判断:

“checkP1”函数的判断比较简单,通过执行一个WBEMing脚本查询进程列表中是否有“vmtoolsd.exe”来检测虚拟机,若该安装包是在vm虚拟机中运行的则不会释放恶意模块。
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-2-24 01:32 | 显示全部楼层


在真实的环境中进行安装测试,安装完成后将自动运行“cxrdo.exe”程序来启动恶意模块“libcef.dll”,此过程是一例“白加黑”的利用。

恶意模块“libcef.dll”启动后,联网下载“update.xml”配置列表,其中包含三个工作模块的文件名和hash值,用于替换“集结号”安装目录下的程序模块,保证启动的游戏能够加载恶意代码。

三个工作模块中,“AutoUpdateCHS.dll”用于劫持“集结号”游戏启动过程中自动运行的更新程序“AutoUpdate.exe”,主要工作是联网下载“GamePlaza.xml”配置列表,负责更新棋牌游戏的模块,保证游戏能够稳定的运行并包含恶意代码。
[发帖际遇]: 含烟 偷看林女皇洗澡,受到猫伦斯嘉奖,获得了 4 PB 金圆券. 幸运榜 / 衰神榜
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-2-24 01:33 | 显示全部楼层


另外两个工作模块“Voice.dll”和“Mfc71.dll”也算是一例“白加黑”的利用,棋牌游戏的主程序“GamePlaza.exe”在启动过程中会自动导入“Mfc71.dll”这个运行库,但该库又引入了“Voice.dll”模块,最终恶意模块“Voice.dll”将在游戏启动时自动加载来进行盗号的任务。

恶意模块“Voice.dll”为此盗号木马最核心的功能模块,其中包含大量的代码混淆处理来对抗分析。调试过程中发现,该模块对“集结号”游戏启动过程中加载的多个程序模块做了hook操作,如“GamePlaza.exe”、“ChannelModule.dll”等,但实际盗号过程中并没有执行到,猜测是以前使用的盗号方式没有去掉。

游戏刚启动时,恶意模块往C&C服务器“111.230.126.189:5712”发送加密上线包,服务端则返回一条加密控制信息,其中包含“集结号”的登录服务器地址信息,这些登录服务器是对应显示在游戏登录窗口的服务器列表,实则由木马作者动态控制,也就是说用户登录步骤完全被木马程序劫持了。

当用户输入账号密码点击登录后,则登录验证会先经过上述动态控制的登录服务器来远程验证账号密码的合法性,若账号密码错误则弹出提示,账号密码正确则进行下一步回传记录。

用户成功登录后,木马就将盗取的账户密码等登录信息以json数据格式组织并加密回传到C&C服务器,回传的信息字段如下:

至此,用户账户已经被木马成功盗取,之后用户可以正常地使用游戏客户端没有什么影响,木马模块只是接管了官方游戏的登录流程,从而达到偷偷盗取用户账号密码的目的。
对于游戏氪金玩家来说,要尽量通过官方、安全的下载渠道来安装游戏,谨慎使用来历不明的游戏外挂,防止遭受损失。
来源:360核心安全
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

5

主题

762

帖子

1451

积分

少校

Rank: 10Rank: 10

积分
1451
威望
1451
金圆券
26092 PB
小红花
60
臭鸡蛋
0
法币
0 FB
发表于 2019-2-24 09:33 | 显示全部楼层
百度已经丧心病狂了……难怪bat三巨头就他掉队了……
回复

使用道具 举报

488

主题

4698

帖子

7276

积分

上校

Rank: 12Rank: 12

积分
7276
威望
7276
金圆券
22923 PB
小红花
40
臭鸡蛋
5
法币
1 FB
发表于 2019-2-24 14:32 | 显示全部楼层
百度应该向全国人民谢罪
回复

使用道具 举报

1

主题

13

帖子

96

积分

中士

Rank: 3

积分
96
威望
96
金圆券
2227 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-2-25 00:35 | 显示全部楼层
百度的结果都0可信度,不过这类游戏看起来本身就乱.
话说最近360安全真的在用心做事,以前一直瞧不起数字娱乐公司.没想到进步这么大,winrar那个高危漏洞也是他们发布的.
回复

使用道具 举报

2

主题

109

帖子

204

积分

少尉

Rank: 6Rank: 6

积分
204
威望
204
金圆券
252 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-1 10:09 | 显示全部楼层
winrar那个高危漏洞也是他们发布的.
回复

使用道具 举报

1

主题

6

帖子

40

积分

下士

Rank: 2Rank: 2

积分
40
威望
40
金圆券
39 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-1 16:09 | 显示全部楼层
感谢楼主分享资源,很不错的
回复

使用道具 举报

3

主题

19

帖子

59

积分

下士

Rank: 2Rank: 2

积分
59
威望
59
金圆券
57 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-9 16:43 | 显示全部楼层
百度应该及时做好安全措施
回复

使用道具 举报

2

主题

32

帖子

150

积分

上士

Rank: 4Rank: 4

积分
150
威望
150
金圆券
447 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-11 08:48 | 显示全部楼层
手机上也是,你搜什么第一个都是假的
回复

使用道具 举报

73

主题

7838

帖子

1万

积分

制置使

Rank: 14Rank: 14Rank: 14Rank: 14

积分
19747
威望
19747
金圆券
225011 PB
小红花
24
臭鸡蛋
5
法币
134 FB

P社游戏达人

QQ
发表于 2019-3-13 08:31 | 显示全部楼层
学习了,被骗了4000网课费
回复

使用道具 举报

3

主题

16

帖子

71

积分

下士

Rank: 2Rank: 2

积分
71
威望
71
金圆券
409 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-13 10:09 | 显示全部楼层
还好我对这类游戏没兴趣。可怕
回复

使用道具 举报

0

主题

7

帖子

12

积分

列兵

Rank: 1

积分
12
威望
12
金圆券
44 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-13 10:40 | 显示全部楼层
怎么提高威望啊
回复

使用道具 举报

0

主题

7

帖子

12

积分

列兵

Rank: 1

积分
12
威望
12
金圆券
44 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-13 10:40 | 显示全部楼层
明白了,多发帖子
回复

使用道具 举报

36

主题

1213

帖子

5819

积分

龙骑士

Rank: 12Rank: 12

积分
5819
威望
5804
金圆券
690891 PB
小红花
115
臭鸡蛋
11
法币
1 FB

设计师勋章大设计师勋章端午节勋章

发表于 2019-3-13 11:18 | 显示全部楼层
方可成說----"搜索引擎百度已死 "

一點也沒錯
    
回复

使用道具 举报

3

主题

2780

帖子

9325

积分

实习版主

Rank: 14Rank: 14Rank: 14Rank: 14

积分
9325
威望
9325
金圆券
12178 PB
小红花
2
臭鸡蛋
0
法币
0 FB
发表于 2019-3-13 12:10 | 显示全部楼层
百度真的是越来越过分了
回复

使用道具 举报

1

主题

14

帖子

103

积分

中士

Rank: 3

积分
103
威望
103
金圆券
380 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-16 13:02 | 显示全部楼层
GOOGLE在研发阿尔法狗,百度再卖假药,都是做搜索的。哎
回复

使用道具 举报

1

主题

13

帖子

38

积分

下士

Rank: 2Rank: 2

积分
38
威望
38
金圆券
60 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-16 16:45 来自手机 | 显示全部楼层
这种东西防不胜防,家里还好,网吧重灾区
回复

使用道具 举报

1

主题

25

帖子

124

积分

中士

Rank: 3

积分
124
威望
124
金圆券
1 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-23 14:41 | 显示全部楼层
只能靠自己长心眼。现在点开什么,哎 --
回复

使用道具 举报

0

主题

16

帖子

32

积分

下士

Rank: 2Rank: 2

积分
32
威望
32
金圆券
67 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-27 23:11 | 显示全部楼层
牛,黑产真牛。
回复

使用道具 举报

1

主题

111

帖子

350

积分

中尉

Rank: 7Rank: 7Rank: 7

积分
350
威望
350
金圆券
2634 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-28 09:43 | 显示全部楼层
百度真的是越来越过分了
回复

使用道具 举报

0

主题

5

帖子

10

积分

列兵

Rank: 1

积分
10
威望
10
金圆券
17 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-3-28 12:49 | 显示全部楼层
人为了赚钱真是无所不能啊
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-4-1 17:04 | 显示全部楼层
wind_s 发表于 2019-3-28 09:43
百度真的是越来越过分了

现在就是不能相信百度前三页搜索到的内容
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1326

主题

7万

帖子

10万

积分

制置使

如梦如花月 若即若离花

Rank: 14Rank: 14Rank: 14Rank: 14

积分
102922
威望
102872
金圆券
1057 PB
小红花
330
臭鸡蛋
1
法币
358 FB

水兵勋章水勇勋章水军勋章水将勋章水王勋章新兵勋章设计师勋章优秀新人勋章优秀会员勋章春节元旦勋章

 楼主| 发表于 2019-4-1 17:05 | 显示全部楼层
xuhao777 发表于 2019-3-28 12:49
人为了赚钱真是无所不能啊

确实啊,只要给钱百度什么都敢推广。
如梦如花月 若即若离花

点击孙子兵法的问题
回复

使用道具 举报

1

主题

46

帖子

107

积分

中士

Rank: 3

积分
107
威望
107
金圆券
150 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-4-16 00:43 | 显示全部楼层
度婊不要脸也不是第一天l
回复

使用道具 举报

0

主题

202

帖子

338

积分

中尉

Rank: 7Rank: 7Rank: 7

积分
338
威望
338
金圆券
319 PB
小红花
0
臭鸡蛋
0
法币
0 FB
发表于 2019-4-16 10:10 | 显示全部楼层
黑科技  厉害了
[发帖际遇]: 逆天凡凡抢银行被抓,损失了 2 PB 金圆券. 幸运榜 / 衰神榜
回复

使用道具 举报

3

主题

296

帖子

497

积分

上尉

Rank: 8Rank: 8Rank: 8Rank: 8

积分
497
威望
497
金圆券
346 PB
小红花
0
臭鸡蛋
0
法币
1 FB
发表于 2019-4-20 23:45 | 显示全部楼层
木马一直都在,为了钱什么都愿意。

点评

也不知道怎么赚钱的  发表于 2019-4-20 23:46
回复

使用道具 举报

1

主题

2

帖子

52

积分

下士

Rank: 2Rank: 2

积分
52
威望
52
金圆券
336 PB
小红花
0
臭鸡蛋
0
法币
0 FB
QQ
发表于 2019-5-7 09:18 | 显示全部楼层
棋牌赌博这么好玩的吗?
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|52PCGame  

GMT+8, 2019-8-23 12:47 , Processed in 0.170483 second(s), 21 queries , Memcache On.

Powered by Discuz! X3.1

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表