暴力木马

暴力木马
FB招聘站
分类阅读
专栏
公开课
FIT 2019
企业服务
用户服务
搜索
投稿
登录
注册
HTTPS劫匪木马暴力升级：破坏ARK攻击杀软 360安全卫士认证厂商2017-09-09共250715人围观，发现 2 个不明物体 WEB安全
目前，越来越多的网站开始注册证书，提供对HTTPS的支持，保护自己站点不被劫持。而作为对立面的流量劫持攻击，也开始将矛头对准HTTPS，其中最常见的一种方法便是伪造证书，做中间人劫持。

不久前，360发布了《“移花接木”偷换广告：HTTPS劫匪木马每天打劫200万次网络访问》的相关预警。近日，360互联网安全中心又发现一款名为“跑跑火神多功能辅助”的外挂软件中附带的劫持木马，该木马可以看作是之前劫持木马的加强版，其运行后加载RootKit木马驱动大肆劫持导航及电商网站，利用中间人攻击手法劫持HTTPS网站，同时还阻止常见ARK工具（Anti-Rootkit，检测查杀内核级木马的专业工具）运行，破坏杀软正常功能。

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图1

根据我们的数据分析，该木马不仅存在于多种外挂软件中，同时也包含于网络上流传的众多所谓“系统盘”中。一旦有人使用这样的系统盘装机，就等于是让电脑装机就感染了流量劫持木马。

模块分工示意图：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图2

作恶行为：
1、进行软件推广：
程序中硬编码了从指定地址下载安装小黑记事本等多款软件：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图3

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图4

2、破坏杀毒软件：
通过检测文件pdb文件名信息来检测判断Ark工具，检测到后直接结束进程并删除相应文件，如图所示检测了：PCHunter(原XueTr)、WinAST、PowerTool、Kernel Detective等，和所有顽固木马一样，HTTPS劫匪也把360急救箱列为攻击目标。

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图5

删除杀软LoadImage回调：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图6

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图7

阻止网盾模块加载,其阻止的列表如下：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图8

3、进行流量劫持
木马会云控劫持导航及电商网站，利用中间人攻击手法，支持劫持https网站

中间人攻击示意图

图9

中间人攻击示意图

驱动调用BlackBone代码将yyqg.dll注入到winlogon.exe进程中执行,

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图10

BlackBone相关代码：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图11

yyqg.dll还会导入其伪造的一些常见网站的ssl证书，导入证书的域名列表如下：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图12

替换的百度的SSL证书:

替换的百度的SSL证书

图13

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图14

通过云控控制需要劫持网站及劫持到目标网站列表：云控地址采用的是使用DNS:114.114.114.114（备用为：谷歌DNS：8.8.8.8以及360DNS：101.226.4.6）解析dns.5447.me的TXT记录得到的连接：

获取云控连接地址部分代码：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图15

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图16

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图17

使用Nslookup查询dns.5447.me的TXT记录也和该木马解析拿到的结果一致：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图18

最终得到劫持列表地址：http://h.02**.me:97/i/hijack.txt?aa=1503482176

劫持网址列表及跳转目标连接如下图，主要劫持导航及电商网站：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图19

驱动读取网络数据包：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图20

发送控制命令：

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图21

驱动层过滤拦截到网络数据包返回给应用层yyqg.dll, 应用层yyqg.dll读取到数据解析后根据云控列表匹配数据然后Response一段：

自动刷新并指向新页面的代码

（http-equiv顾名思义，相当于http的文件头作用）

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图22

被劫持后给返回的结果：自动刷新并指向新页面:http://h.02**.me:97/i

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图23

http://h.02**.me:97/i再判断浏览器跳转到最终带有其推广ID的导航页面：如果是搜狗浏览器跳转到：http://www.hao123.com?123
不是搜狗浏览器则跳转到:http://www.hao774.com/?381**,至此就完成了一个完整劫持过程。

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图24

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图25

劫持效果动图(双击打开)：

Hijack.gif

图26

同时为了防止劫持出现无限循环劫持，其还做了一个白名单列表主要是其劫持到的最终跳转页面连接，遇到这些连接时则不做劫持跳转。

http://h.02**.me:97/i/white.txt?aa=1503482177

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图27

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图28

传播：
除了游戏外挂外，在很多Ghost系统盘里也发现了该类木马的行踪，且木马利用系统盘传播的数量远超外挂传播。使用带“毒”系统盘装机，还没来得及安装杀毒软件，流量劫持木马便自动运行；另外，外挂本身的迷惑性，也极易诱导中招者忽视杀软提示而冒险运行木马。

正因木马宿主的特殊性，使得该类流量劫持木马的感染率极高。据360近期的查杀数据显示，由于系统自带木马，或忽略安全软件提示运行带毒外挂的受害用户，已经高达数十万之多。

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图29

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

图30

HTTPS劫匪木马暴力升级：破坏ARK攻击杀软

再次提醒广大网民：
1.谨慎使用网上流传的Ghost镜像，其中大多都带有各种恶意程序，建议用户选择正规安装盘安装操作系统，以免自己的电脑被不法分子控制。

2.非法外挂软件“十挂九毒”，一定要加以警惕，特别是在要求必须退出安全软件才能使用时，切不可掉以轻心；

3.安装操作系统后，第一时间安装杀毒软件，对可能存在的木马进行查杀。上网时遇到杀毒软件预警，切不可随意放行可疑程序。

*本文作者：360安全卫士，转载请注明来自 FreeBuf.COM

360安全卫士
360安全卫士
207 篇文章
等级： 8级
||
上一篇：Struts S2-052反弹Shell实验下一篇：关于8月31日维基解密被攻击的观察与分析
发表评论已有 2 条评论

Kr0Day 2017-09-09回复 1楼
本人早已分析过

亮了(1)

匿名懦夫 2017-09-10回复 2楼
5447.me是Q邮箱注册的快去查他水表！

亮了(0)
昵称
请输入昵称
必须您当前尚未登录。登陆？注册邮箱
请输入邮箱地址
必须（保密）表情插图
有人回复时邮件通知我
360安全卫士
360安全卫士认证厂商

360安全卫士官方账号

207
文章数
10
评论数
最近文章
十张图看懂Windows平台挖矿木马攻击趋势
2018.11.09

远控木马盗用网易官方签名
2018.10.24

幽灵间谍：TrickBot新变种运用“无文件”技术发起攻击
2018.08.23

浏览更多
相关阅读
PHP Hash比较存在缺陷，影响大量Web网站登录认证、忘记密码等关键业务Discuz论坛自动爆破工具原理分析隔离网络环境下的数据渗漏：Meterpreter DNS隧道技术挖洞经验 | 看我如何发现雅虎网站的3个RCE漏洞OWASP CISOS GUIDE(首席安全官指引)内容解析
特别推荐

关注我们分享每日精选文章

活动预告
11月

FreeBuf精品公开课·双11学习狂欢节 | 给努力的你打打气
已结束
10月

【16课时-连载中】挖掘CVE不是梦（系列课程2）
已结束
10月

【首节课仅需1元】挖掘CVE不是梦
已结束
9月

文章评论