“红包快抢”外挂木马分析及幕后黑手调查-安全客

近期有网友反馈,在QQ群里下载运行了一款抢红包软件后,发现自己的电脑就被黑客接管控制了,非常担心重要数据和账号泄露。根据网友提供的这款名为“红包快抢”的外挂进行分析,360QVM团队发现此外挂是一个典型的木马后门,使黑客能够获得受害者电脑的访问权。

“红包快抢”木马技术分析

当程序执行后会获取临时目录C:DOCUME~1ADMINI~1LOCALS~1Temp,在目录下创建目录_ir_sf_temp_0,并在目录下释放irsetup.exe和lua5.1dll。

这里恶意程序通过利用IndigoRose出品的一款安装程序制作工具Setup Factory,而irsetup.exe通过

__IRCT:0 __IRTSS:0 __IRSID:S-1-5-21-1614895754-1935655697-1417001333-500 __IRAOFF:1751402 __IRAFN:C:Documents and SettingsAdministrator桌面1.exe __IRCT:0 __IRTSS:0 __IRSID:S-1-5-21-这段参数启动。

程序文件对文件的操作如上图,当irsetup.exe将TenioDL_core.dll、Inst.exe、Config.dat等文件释放完后,通过启动

C:Documents and SettingsAdministratorApplication Data目录下的Inst.exe。而Inst.exe执行会导入同目录下的TenioDL_core.dll这个文件。

而该目录下的

TenioDL_core.dll并非Inst.exe真正所需加载的dll文件。它是伪造的一个dll文件,它提供同样的输出表。所以,在Inst.exe调用TenioDL_core.dll的时候,就会调用该目录下这个伪造的DLL,执行相关的恶意行为。

而TenioDL_core.dll主要是将C:Documents and SettingsAdministratorApplication Data下的config.dat解密到内存中。

并且会对解密出来的文件进行判断,判断是否为PE文件。

随后分别在policydefine和slimit两个目录下释放文件。

Inst.exe随后通过启动程序dllhost.exe ,读取同在slimit目录下的config.dat文件到内存中解密执行,随后与zhong2016.org建立连接。

而slimit目录下的

Config.dat通过算法解密出来,得知它是一个dll文件。

解密前

解密后

解密算法

而该后门程序为了达到长期驻留在受害者的计算机中,通过修改注册表启动项来达到后门程序随受害者计算机系统启动而启动。这里主要是Config.dat在内存中解密执行过程中,将slimit目录下的start.exe添加到HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun启动项中。

最后,通过抓包工具捕获到后门程序尝试与176.9.12.95:2016进行连接访问的数据包。