、概述
4月1日凌晨,火絨安全團隊發出警報,部分“2345導航站”首頁的彈窗廣告攜帶盜號木馬,該病毒會偷取QQ、游戲平臺(steam、WeGame)、知名游戲(地下城與勇士、英雄聯盟、穿越火線)的賬號。這是一次設計精巧、組織周密的大規模盜號行動,利用周末時間突然發起攻擊,主要目標是網吧游戲用戶。
火絨工程師分析,部分“2345導航站”首頁右下角會彈出彈窗廣告(上圖紅色箭頭所指),該廣告頁面一經彈出,即可自動下載病毒,無需用戶點擊。病毒下載鏈接自動激活后,首先訪問跳板網站“yyakeq.cn”(存放跳板腳本以及flash漏洞),然后再從“ce56b.cn”網站下載病毒,而盜取的QQ、游戲等賬號則被上傳到“zouxian1.cn”網站。
該病毒利用IE瀏覽器漏洞和Flash漏洞進行傳播,受影響Flash控件版本從21.0.0.180至31.0.0.160。所有使用360、搜狗等主流瀏覽器的用戶,如果其Flash控件是以上版本,都會被感染。
該病毒整個傳播鏈條及所涉相關企業、疑似團伙嫌疑人等信息,請閱讀后附的詳細分析報告。
二、樣本分析
近期,火絨發現2345、hao774等多個2345旗下導航站中廣告內容帶有漏洞攻擊代碼。通過分析確認,我們初步認定2345旗下導航站被投毒。廣告內容涉及瀏覽器漏洞和Flash漏洞,漏洞代碼執行后會從C&C服務器(hxxps:// www.yyakeq.cn)下載執行病毒代碼,現階段火絨發現的病毒代碼內容多為盜號病毒。該漏洞攻擊只針對特定的推廣計費號,再聯系其廣告內容“高價在線回收所有網游裝備/金幣”,我們推斷此次攻擊主要針對對象主要為網絡游戲人群,且針對性極強。2345導航站中相關廣告內容和相關HTML代碼,如下圖所示:
2345導航站中相關廣告內容和相關HTML代碼
從頁面代碼看,該廣告展示代碼的植入也非常“奇特”,因為廣告展示鏈接是硬編碼在頁面代碼中的。根據web.archive.org的抓取結果,該廣告展示代碼應該于2019年3月25日至2019年3月28日期間首次上線,截至本報告撰寫時,該代碼仍然有效且漏洞和病毒邏輯仍可激活。惡意廣告內容為被包含在iframe標簽中的廣告頁面。頁面嵌套關系,如下圖所示:
病毒頁面嵌套調用關系
tj.html中首先會默認加載ad.html利用Flash漏洞進行攻擊,之后再根據瀏覽器的User Agent加載不同的IE漏洞利用代碼(banner.html或cookie.html)。相關代碼,如下圖所示:
頁面加載代碼
ad.html中的HTML代碼中包含有混淆后的JavaScript代碼。相關代碼,如下圖所示:
ad.html中的HTML代碼
ad.html中代碼會被先后解密兩次,最終得到漏洞調用代碼,根據漏洞利用代碼的調用邏輯,我們可以粗略確認受影響的Flash版本范圍為21.0.0.180 至 31.0.0.160之間。相關代碼,如下圖所示:
最終執行的漏洞攻擊相關調用代碼
漏洞被觸發后,會調用遠程HTA腳本會從C&C服務器地址(hxxp://www.ce56b.cn/logo.swf)下載病毒數據到本地進行解密執行,被解密后的病毒數據為下載者病毒。相關進程調用關系,如下圖所示:
漏洞觸發后的進程調用關系
病毒解密相關代碼,如下圖所示:
病毒解密代碼
banner.html和cookie.html最終也會執行類似的遠程HTA腳本最終通過相同的C&C服務器地址下載執行相同惡意代碼。相關代碼,如下圖所示:
解密遠程HTA腳本地址
漏洞觸發代碼
漏洞被觸發后,最終被下載執行的下載者病毒會根據C&C服務器返回的配置(hxxp://www.ce56b.cn/tj.txt),下載盜號木馬到本地進行執行。存在被盜號風險的軟件包括:Steam游戲平臺、WeGame游戲平臺、騰訊QQ、地下城與勇士、穿越火線、英雄聯盟。相關配置,如下圖所示:
下載者病毒配置
騰訊QQ、地下城與勇士、穿越火線游戲的盜號木馬均為Delphi編寫,通過偽造游戲登陸界面,欺騙誘導用戶輸入游戲賬號密碼,獲取到賬號密碼會發送到遠程C&C服務器(hxxp://we.zouxian1.cn)。相關代碼,如下圖所示:
提交賬號與密碼
英雄聯盟、WeGame游戲平臺同樣也是通過偽造游戲的登陸界面,獲取用戶的游戲賬號和密碼,并且賬號密碼也會發送到遠程C&C服務器(hxxp://we.zouxian1.cn)。相關代碼,如下圖所示:
提交賬號與密碼
在盜取Steam游戲平臺賬號密碼 時,首先該病毒會釋放libsteam.dll到steam目錄下,并調用該動態庫的導出函數InstallHook 用于安裝全局鉤子。相關代碼,如下圖所示:
調用導出函數
該動態庫會安裝全局鉤子,用于將自身注入到steam進程,當注入到steam進程后SteamUI.dll中TextEntry控件相關的函數,用于截取用戶的賬號密碼輸入。注入部分代碼,如下圖所示:
安裝全局鉤子
HOOK SteamUI.dll用于截獲用戶的賬號密碼。HOOK 相關代碼,如下圖所示:
HOOK SteamUI.dll
被盜取的賬號,同樣也會發送到遠程C&C服務器(hxxp://zouxian1.cn)。相關代碼,如下圖所示:
提交賬號與密碼
三、溯源分析
本次報告過程中獲取到的可溯源信息包括網馬信息和病毒相關信息,下文分塊進行溯源分析。
網馬溯源
通過對域名yyakeq.cn和ce56b.cn的溯源,發現上述域名分別由名為“武漢躍譜騰科技有限公司”和名為“邵東綠設空間工程設計有限公司”的公司注冊,且兩公司還注冊了至少幾千個名稱看似毫無含義、近乎隨機生成的域名,其中一些域名指向頁面包含明顯的欺詐內容(如下圖所示),所以不排除這些域名是想在未來用作C&C服務的DGA(Dynamic Generation Algorithm)域名。
其中一個域名指向的頁面內容
yyakeq.cn域名注冊信息
ce56b.cn域名注冊信息
部分疑似DGA域名
部分疑似DGA域名
盜號病毒溯源
通過對盜號病毒收集URL的Whois查詢,可以得到如下信息:
域名zouxian1.cn注冊信息
另外通過該域名注冊信息的聯系人和聯系郵箱反查,此人以同樣的命名方式于2018年4月20日共注冊了15個近似域名:
域名注冊反查結果
另外,通過ICP備案查詢發現,其中部分域名還經過了ICP個人備案:
ICP備案查詢結果
并且同日(2018年4月20日),此人還用同樣的QQ郵箱(2659869342@qq.com)和不同的姓名注冊了另外兩個形式與前述域名相似的域名,如下圖所示:
域名注冊反查結果
四、附錄
文中涉及樣本SHA256:
*本文作者:火絨安全,轉載自FreeBuf.COM
llavsoft for Mac是Mac平臺上一款全能的視頻下載器,allavsoft中文版可以從各種視頻網站下載MP4、M4A、FLV、HTML5、AAC等格式的視頻,支持在iPad、iPhone、iPod、Apple TV、iMovie、Final Cut Pro等設備或軟件上播放,同時具備轉換功能,功能實用,喜歡這款Allavsoft 視頻下載器的朋友趕緊來體驗一下吧!
Allavsoft for mac官方介紹
Allavsoft是一款適用于Mac OS X的全功能視頻下載器和轉換器。
- 免費下載視頻到MP4,MOV,Apple ProRes,AVI,WMV,MPG,DV,VOB,MKV。
- 將視頻下載到MP3,Apple Lossless,M4A,WAV,AC3,AAC,WMA,AIFF。
- 下載并轉換F4F,FLV,F4V,F4M,WebM以在Mac,iTunes,QuickTime,iPad,iPhone,iPod,Apple TV,iMovie,Final Cut Pro等上播放。
- 從Dailymotion,eHow,Yahoo Video和其他視頻共享網站下載免費視頻和音頻。
- 下載HTML5,HD 1080p / 720p,4K 4096p,3D或SD視頻。
https://mac.orsoon.com/Mac/151231.html
allavsoft mac版功能特點
在Mac上下載免費視頻文件
Allavsoft也是一款無所不能的Mac Video Downloader,支持從Facebook,Yahoo Video,Google Video,DailyMotion,eHow等各種視頻分享網站下載視頻。
下載1080p高清視頻
一旦視頻共享網絡提供這種視頻分辨率和質量,這個理想的視頻下載器就可以下載具有最佳視頻質量的網絡視頻,如下載高清1080p視頻,下載4K視頻和下載720p視頻。
將視頻下載到Apple ProRes,MP4,MOV,AVI等
這個一站式的Mac視頻下載器可以從各種網站下載電影,無論原始格式是FLV,WebM,F4F,MP4,F4V,AVI,任何流行的視頻格式,如下載視頻到MP4,MOV,Apple ProRes,AVI, WMV,ASF,MPEG-1,MPEG-2,VOB,MKV,DV,3GP,RM,TS,SWF,FLV,OGV,WebM等。
https://mac.orsoon.com/Mac/151231.html
將視頻下載到Apple Lossless,M4A,WAV,MP3,AAC等
Allavsoft還可以一步將視頻下載到MP3,Apple Lossless,M4A,WAV,WMA,AAC,AC3,AIFF,AU,RA,OGG,MP2,FLAC,DTS等音頻格式。
下載視頻以在任何媒體播放器或便攜式設備上播放
Allavsoft支持將視頻下載和轉換為流行的視頻格式,以便在iTunes,QuickTime,iPad,iPhone,iPod,Apple TV,Android手機或平板電腦,三星Galaxy,摩托羅拉Droid,LG,BlackBerry,Google Nexus,Microsoft Surface上輕松播放網絡視頻,Windows Phone,PSP,PS3,PS4,Xbox 360,Zune,Archos,Creative Zen,iRiver,亞馬遜Kindle Fire等。
下載電影以在iMovie,FCP,FCE等中進行編輯
這款理想的視頻下載Mac版可以下載電影到iMovie,Final Cut Pro X或7,Final Cut Express支持的視頻格式,便于編輯或下載視頻到Sony Vegas,Adobe Premiere,Avid,Windows Movie Maker等。
在Mac OS X Mavericks上下載視頻
功能強大的Video Downloader for Mac可以從macOS Mojave,High Sierra,Sierra等幾乎所有類型的視頻共享網站上下載電影,音樂視頻; Mac OS X El Capitan,Yosemite,Mavericks,Mountain Lion,Lion,Snow Leopard,Leopard,Tiger等。
allavsoft mac系統要求
Mac OS X v10.4(Tiger),10.5(Leopard),10.6(Snow Leopard),10.7(Lion),10.8(Mountain Lion),10.9(Mavericks),10.10(Yosemite),10.11(El Capitan),10.12( macOS Sierra),10.13(macOS High Sierra)和10.14(macOS Mojave)及更高
PowerPC?G5或英特爾?處理器;
512MB RAM或更多;
50MB可用硬盤空間用于安裝;
超級VGA(800 x 600)分辨率,16位顯卡或更高
件夾:C:\迅雷下載\有聲繪本_flash[淘寶-珍奧下載]\有聲繪本 flash,里面有多個flash文件,怎么轉換成mp3文件呢?
可以使用swfextract工具從Flash動畫中提取音頻,下載地址是http://www.swftools.org/download.html,也可以加入知識星球“AIGC部落”進行下載。
然后將swfextract這個工具的可執行文件的路徑已經添加到系統PATH環境變量中:
比如其路徑是:D:\Program Files (x86)\SWFTools
然后,在ChatGPT中輸入提示詞:
你是一個Python編程專家,要完成一個提取flash動畫swf文件中的mp3的任務,具體步驟如下:
打開文件夾:C:\迅雷下載\有聲繪本_flash[淘寶-珍奧下載]\有聲繪本 flash;
讀取所有的swf文件;
使用swfextract工具將這些swf文件轉換為mp3文件;
注意:每一步都要輸出相關信息;
swfextract.exe的地址是:D:\Program Files (x86)\SWFTools
swfextract工具的使用方法:
NAME
swfextract - a tool for extracting data out of swf files.
Synopsis
swfextract [options] [file.swf]
DESCRIPTION
swfextracts allows to extract swf movieclips and objects out of swf files.
SWF files are animation files which can be displayed in Web Browsers using the Flash Plugin.
OPTIONS
?m, ??mp3
Extract main mp3 stream (There may be substreams in the Movieclips, as well. To extract these, first extract the Movieclips with -i and then use -m)
生成源代碼如下:
import os
import subprocess
# 文件夾路徑
folder_path="C:\迅雷下載\有聲繪本_flash[淘寶-珍奧下載]\有聲繪本 flash"
# swfextract 工具的路徑
swfextract_path="D:\Program Files (x86)\SWFTools\swfextract.exe"
# 讀取所有的swf文件
swf_files=[f for f in os.listdir(folder_path) if os.path.isfile(os.path.join(folder_path, f)) and f.endswith(".swf")]
# 遍歷所有swf文件
for swf_file in swf_files:
print(f"處理文件:{swf_file}")
# 提取swf文件中的音頻
mp3_file=swf_file.replace(".swf", ".mp3")
subprocess.run([swfextract_path, "-m", os.path.join(folder_path, swf_file), "-o", os.path.join(folder_path, mp3_file)])
print(f"生成MP3文件:{mp3_file}")
print("所有文件處理完畢。")
運行程序,全部flash動畫文件轉換成了mp3音頻
*請認真填寫需求信息,我們會在24小時內與您取得聯系。