0x00 前言
《绝地求生:大逃杀》自Steam上线以来就一直占据销量榜榜首,可见该款游戏的热门程度。用户纷纷加入“吃鸡大军”,而《绝地求生:大逃杀》需要用
“邮箱数据”
而我们也发现这些黑产从业者正试图在、QQ群里售卖手里的非法Steam数据,其中的“邮箱数据”里发布了大量的非法Steam数据交易内容。并且,我们360云系统监测近期也有曝光过一些不法分子借助变声器、外挂、加速器等进行盗号木马传播,该木马一旦运行,即可成功盗取得用户的QQ号和动态Skey。
腾讯为了方便用户,在登录的QQ电脑中,可以使用“快速登录”的方式,在使用此种登录方式的过程中,会产生一个密钥,是QQ登录的另一种身份证,盗号者可以通过这个key来识别用户的QQ,登录邮箱,QQ空间、看相册、日记,发布说说,微博,财付通,QB查询……
使用QQkey登录邮箱工具
通过伪装steam外挂传播的不法分子通过快速登录QQ邮箱,将盗取与QQ邮箱有绑定关系的Steam账号以及相关财产。
360-CERT对此漏洞进行了相关分析,认为漏洞影响严重;目前相关的报告已经公开,建议相关用户尽快进行评估预案。
0x01 产业链分析
我们尝试跟中一个“贩子”进行沟通,试图还原整个盗号产业链的情况。
沟通的过程“贩子”向我们展示了盗取Steam账号过程中需要的工具以及测试数据,从工具来看,我们发现他们用于窃取QQKey的收信方式主要有腾讯企业邮箱收信、ASP收信。
盗号木马生成器、QQKEY登录器
“贩子”还告诉了我们这些工具、源码在圈内的价位,整套盗号木马生成器的易语言源码一套售价1500,而对于一些不懂的加工易语言源码的工
我们以需要测试盗号木马是否能够免杀360向“贩子”要了一个测试木马,“贩子”称它的木马能够过360,然而文件刚下来就被QVM查杀了。其实,该木马本身技术门槛并不高。而整个盗号流程中至关重要的就是账号数据量,而在后续沟通的过程中,我们也“贩子”那了解到他们的手法主要为引流传播,并再次向我们展示了他们行业“撸号宝典”。
我们还原出关于这类黑色产业链的情况如下图:
0x02 窃取QQkey
我们根据近期捕获的样本中发现,此类盗号木马的窃取QQkey的攻击手法主要有两种。
利用QQ快速登录窃取QQKey
通过访问
http://localhost.ptlogin2.qq.com:4300/[url]获取用户登录qq的key ,将Set-Cookie中的clientKey发送到牧马人的服务器(464690486.blkj.tk)中。
牧马人的服务器通过qqkey.php以Get的方式接收QQkey进程存储,传输的数据主要有:qq号码、QQ名称、QQkey。
将qq号和qq登录的key发送到指定服务器
还将信息发送到指定邮箱
其中某木马分发者的收信站流量:
注:该图来自360络研究院
根据站流量来看从2018年3月30日开始站流量突然飙升,在上面我们也贴出了该站的访问日志。
另外一个木马分发者的收信邮箱:
由此可见收获不菲。
暴力搜索内存提取QQkey,上传服务器或者邮箱
读取QQ.exe内存
发送QQKey到服务器
登录到一个盗号者的服务器上,可以看到半小时左右就有2000多个QQ账号和密码被盗取。
服务器上QQKey记录
新型变种
关于这个新型变种,我们发现他获取QQkey使用的方法并没有改变(这种方法目前在目前只有360可以查杀)
依旧还是通过QQ快速登录的接口获取的QQkey,如下图:
不过我们发现他上传QQkey的方法发生了改变,由以前的通过邮箱收信、ASP收信变成了socket通信,如下图木马正在连接C&C服务器:
我们通过技术手段获得了该变种的木马生成器,该生成器中包含:全自动进入QQ邮箱盗号、管理获取的QQkey、自动生成木马等等,可见功能非常齐全。
其中,我们得知该服务器在4月11日至4月12日之间流量飙升,由此可见该变种应该是在4月11日的时候放出的,事后我们对此变种进行了拦截,该C&C服务器的流量图如下:
注:该图来自360络研究院
0x03 IOC
12e13e.exe 55AC18FB660F726EB801B8F03F9EBC37
wrqdfq.exe 37575D21B8CD16ABA4C3E1B3013B1E31
QQPass.exe 6CB90F793DB09FEF0077E599C6FF6F20
0x04 时间线防范建议
1、立即安装“360卫士”对此类木马进行防范。
2、不要因为使用辅助软件而关闭软件的防护功能。
0x05 总结
360云大数据显示该类型木马数量一直在不断的增加,不单单是可能影响到用户的Steam账号,也影响了用户QQ其他业务的性,有可能促使用户遭受较大的经济损失等。
建议广大用户立即安装目前能查杀此类样本的“360卫士”进行查杀。
版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至957126978@qq.com举报,一经查实,本站将立刻删除。