火絨安全警報:“2345導航站”彈窗廣告攜帶病毒盜取QQ和多款熱門遊戲賬號
火絨安全團隊發出警報,部分“2345導航站”首頁的彈窗廣告攜帶盜號木馬,該病毒會偷取QQ、遊戲平台(steam、WeGame)、知名遊戲(地下城與勇士、英雄聯盟、穿越火線)的賬號。這是一次設計精巧、組織周密的大規模盜號行動,利用周末時間突然發起攻擊,主要目標是網吧遊戲用戶。
一、概述

火絨工程師分析,部分“2345導航站”首頁右下角會彈出彈窗廣告(上圖紅色箭頭所指),該廣告頁面一經彈出,即可自動下載病毒,無需用戶點擊。病毒下載鏈接自動激活後,首先訪問跳板網站“yyakeq.cn”(存放跳板腳本以及flash漏洞),然後再從“ce56b.cn”網站下載病毒,而盜取的QQ、遊戲等賬號則被上傳到“zouxian1.cn”網站。
該病毒利用IE瀏覽器漏洞和Flash漏洞進行傳播,受影響Flash控件版本從21.0.0.180至31.0.0.160。所有使用360、搜狗等主流瀏覽器的用戶,如果其Flash控件是以上版本,都會被感染。
安裝最新版“火絨安全軟件”,即可徹底查殺該病毒。該病毒整個傳播鏈條及所涉相關企業、疑似團伙嫌疑人等信息,請閱讀後附的詳細分析報告。
二、樣本分析
近期,火絨發現2345、hao774等多個2345旗下導航站中廣告內容帶有漏洞攻擊代碼。通過分析確認,我們初步認定2345旗下導航站被投毒。廣告內容涉及瀏覽器漏洞和Flash漏洞,漏洞代碼執行後會從C&C 服務器(hxxps:// www.yyakeq.cn)下載執行病毒代碼,現階段火絨發現的病毒代碼內容多為盜號病毒。該漏洞攻擊只針對特定的推廣計費號,再聯繫其廣告內容“高價在線回收所有網游裝備/金幣”,我們推斷此次攻擊主要針對對象主要為網絡遊戲人群,且針對性極強。2345導航站中相關廣告內容和相關HTML代碼,如下圖所示:

2345導航站中相關廣告內容和相關HTML代碼
從頁面代碼看,該廣告展示代碼的植入也非常“奇特”,因為廣告展示鏈接是硬編碼在頁面代碼中的。根據web.archive.org的抓取結果,該廣告展示代碼應該於2019年3月25日至2019年3月28日期間首次上線,截至本報告撰寫時,該代碼仍然有效且漏洞和病毒邏輯仍可激活。惡意廣告內容為被包含在iframe標籤中的廣告頁面。頁面嵌套關係,如下圖所示:

病毒頁面嵌套調用關係
tj.html中首先會默認加載ad.html利用Flash漏洞進行攻擊,之後再根據瀏覽器的User Agent加載不同的IE漏洞利用代碼(banner.html或cookie.html)。相關代碼,如下圖所示:

頁面加載代碼
ad.html中的HTML代碼中包含有混淆後的JavaScript代碼。相關代碼,如下圖所示:

ad.html中的HTML代碼
ad.html中代碼會被先後解密兩次,最終得到漏洞調用代碼,根據漏洞利用代碼的調用邏輯,我們可以粗略確認受影響的Flash版本範圍為21.0.0.180 至31.0.0.160之間。相關代碼,如下圖所示:

最終執行的漏洞攻擊相關調用代碼
漏洞被觸發後,會調用遠程HTA腳本會從C&C服務器地址(hxxp://www.ce56b.cn/logo.swf)下載病毒數據到本地進行解密執行,被解密後的病毒數據為下載者病毒。相關進程調用關係,如下圖所示:

漏洞觸發後的進程調用關係
病毒解密相關代碼,如下圖所示:

病毒解密代碼
banner.html和cookie.html最終也會執行類似的遠程HTA腳本最終通過相同的C&C服務器地址下載執行相同惡意代碼。相關代碼,如下圖所示:

解密遠程HTA腳本地址

漏洞觸發代碼
漏洞被觸發後,最終被下載執行的下載者病毒會根據C&C服務器返回的配置(hxxp://www.ce56b.cn/tj.txt),下載盜號木馬到本地進行執行。存在被盜號風險的軟件包括:Steam遊戲平台、WeGame遊戲平台、騰訊QQ、地下城與勇士、穿越火線、英雄聯盟。相關配置,如下圖所示:

下載者病毒配置
騰訊QQ、地下城與勇士、穿越火線遊戲的盜號木馬均為Delphi編寫,通過偽造遊戲登陸界面,欺騙誘導用戶輸入遊戲賬號密碼,獲取到賬號密碼會發送到遠程C&C服務器(hxxp://we. zouxian1.cn)。相關代碼,如下圖所示:

提交賬號與密碼
英雄聯盟、WeGame遊戲平台同樣也是通過偽造遊戲的登陸界面,獲取用戶的遊戲賬號和密碼,並且賬號密碼也會發送到遠程C&C服務器(hxxp://we.zouxian1.cn)。相關代碼,如下圖所示:

提交賬號與密碼
在盜取Steam遊戲平台賬號密碼時,首先該病毒會釋放libsteam.dll到steam目錄下,並調用該動態庫的導出函數InstallHook 用於安裝全局鉤子。相關代碼,如下圖所示:

調用導出函數
該動態庫會安裝全局鉤子,用於將自身注入到steam進程,當注入到steam進程後SteamUI.dll中TextEntry控件相關的函數,用於截取用戶的賬號密碼輸入。注入部分代碼,如下圖所示:

安裝全局鉤子
HOOK SteamUI.dll用於截獲用戶的賬號密碼。HOOK 相關代碼,如下圖所示:

HOOK SteamUI.dll
被盜取的賬號,同樣也會發送到遠程C&C服務器(hxxp://zouxian1.cn)。相關代碼,如下圖所示:

提交賬號與密碼
三、溯源分析
本次報告過程中獲取到的可溯源信息包括網馬信息和病毒相關信息,下文分塊進行溯源分析。
網馬溯源
通過對域名yyakeq.cn和ce56b.cn的溯源,發現上述域名分別由名為“武漢躍譜騰科技有限公司”和名為“邵東綠設空間工程設計有限公司”的公司註冊,且兩公司還註冊了至少幾千個名稱看似毫無含義、近乎隨機生成的域名,其中一些域名指向頁麵包含明顯的欺詐內容(如下圖所示),所以不排除這些域名是想在未來用作C&C服務的DGA(Dynamic Generation Algorithm)域名。

其中一個域名指向的頁面內容

yyakeq.cn域名註冊信息

ce56b.cn域名註冊信息

部分疑似DGA域名

部分疑似DGA域名
盜號病毒溯源
通過對盜號病毒收集URL的Whois查詢,可以得到如下信息:

域名zouxian1.cn註冊信息
另外通過該域名註冊信息的聯繫人和聯繫郵箱反查,此人以同樣的命名方式於2018年4月20日共註冊了15個近似域名:

域名註冊反查結果
另外,通過ICP備案查詢發現,其中部分域名還經過了ICP個人備案:

ICP備案查詢結果
並且同日(2018年4月20日),此人還用同樣的QQ郵箱(2659869342@qq.com)和不同的姓名註冊了另外兩個形式與前述域名相似的域名,如下圖所示:

域名註冊反查結果
四、附錄
文中涉及樣本SHA256:
