「安全通告」ZEGOST木馬最新變種來襲,利用白加黑技術竊取用戶信息

2020-12-14 亞信安全

安全通告

近日，亞信安全截獲了ZEGOST木馬最新變種文件，ZEGOST 最初是在2011年被發現的，至今已經歷了多次迭代更新，本次截獲的最新變種刪除了挖礦模塊，採用了白加黑技術逃避殺軟檢測，更加隱蔽地竊取用戶信息。亞信安全將其命名為Trojan.Win32.ZEGOST.G。

攻擊流程

病毒詳細分析

主體文件分析

病毒的主體程序是用C++編寫，其會檢測dbghelp.dll文件。

病毒會檢測內存中正在運行的安全軟體的相關進程：

360tray360sd.exeQQPCTray

通過外鏈釋放病毒文件，外鏈地址經過解密得到，下圖為加密字符串，有的變種會在此模塊中加入挖礦的模塊執行挖礦程序。

把加密的字符串載入內存後解密得出以下地址：

i. http：//4i7i.com/11.exe，在計算機中釋放11.exe文件。

ii. 在文件夾C：\WINDOWS\ime\下釋放病毒文件。

iii. 釋放Calc.exe。

亞信安全DDAN產品能夠檢測釋放的文件及惡意外鏈地址。

11.exe分析

在help目錄下釋放文件helpsvc.exe，並置隱藏屬性。

在註冊表中註冊服務，並把路徑設置為helpsvc.exe。

通過修改註冊表start的值，從而達到禁用Lanmanserver和Winmgmt服務的目的。

通過禁用Lanmanserver可以禁止此計算機通過網絡的文件、列印、和命名管道共享。

利用cacls命令限制system帳戶的訪問權限。

釋放active_desktop_render.dll和winlogon文件。

自刪除。

組件wmpnetwp.exe分析

此文件主要是用來調用svchost.exe去執行外鏈，連接C2C伺服器。其也是遠控工具，用來執行截屏、傳輸音頻等操作。

C2C伺服器地址：

停止sql服務。

入侵svchost.exe與C2C進行交互。

找到自身所在目錄，備份自身文件，並以隨機字符串命名，隨後刪除自身。

隨後調用Createfile函數重新生成wmpnetwp.exe。

為了防止被刪除，其會設置自身的屬性為只讀和隱藏。

其具有截屏功能。

音頻傳輸功能。

組件winlogon分析

此病毒利用了白加黑的技術逃避檢測，讓受害者不能輕易發現病毒。Winlogon.exe為白加黑中的白文件。

winlogon.exe利用了組件active_desktop_render.dll中的函數setDesktopMonitorHook。黑客通過篡改active_desktop_render.dll文件，竊取用戶計算機中的信息。

組件active_desktop_render.dll分析

active_desktop_render.dll中的setdektopmonitorhook主要用於hook用戶鍵盤滑鼠事件以及收取用戶信息。

亞信安全產品解決方案

安全建議

及時更新病毒碼版本；打開系統自動更新，並檢測更新進行安裝；不要點擊來源不明的郵件以及附件；不要點擊來源不明的郵件中包含的連結；請到正規網站或者應用商店下載程序；採用高強度的密碼，避免使用弱口令密碼，並定期更換密碼;儘量關閉不必要的埠；儘量關閉不必要的網絡共享。

IOC

SHA-1：

7C5329229042535FE56E74F1F246C6DA8CEA3BE8

E0A40F067C4A3E0F9874B68055B476B6CF520255

3C6754753ACBED4DA8358045CFA28D19F31DF85A

771DBA6597DA428A985CF1DCD4F54C41610C28F4

7C5329229042535FE56E74F1F246C6DA8CEA3BE8

相關焦點

  • 偽冒銀行木馬正在竊取你的銀行卡信息,國內大量用戶中招
    雙十二期間，奇安信威脅情報中心移動安全團隊監測發現，一個偽冒國內銀行應用的的信息竊取木馬新家族「BYL」，展開了新一輪網絡滲透傳播。據奇安信數據監測雷達顯示，該木馬家族在短短四天內（截至2020年12月16日），已經影響國內大量用戶。
  • 「Cookie大盜」木馬來襲 360安全衛士全面防禦
    日前，360安全中心率先截獲一款專門盜取「QQ號+Cookie」的新型木馬—「Cookie大盜」。利用該木馬，黑客能夠獲得受害用戶的QQ權限，利用受害者的QQ空間、QQ郵箱、說說等發布廣告欺詐信息，甚至長期偷窺受害者的QQ郵箱郵件。
  • 網絡安全:國內「雙槍」木馬病毒的進化史!
    自2017年首次被360安全發現以來，「雙槍」木馬病毒進行了多次變種，感染了逾10萬臺電腦設備，直至2020年5月，360安全聯合百度搗毀了數十萬「肉雞」構成的殭屍網絡，才讓我們得知，殭屍網絡的規模如此巨大，在我們看不見的地方，正與邪的對抗無時不在激烈的交鋒。
  • 有黑客正在專門使用Raccoon 信息竊取程序竊取支付卡信息
    新加坡網絡安全公司Group-IB最近通過跟蹤研究，發現本次攻擊的黑客使用了JavaScript-sniffers (JS-sniffers)，早在2019年，Group-IB的專家就確定了至少38個不同的JS-sniffer家族，目前這個數字還在不斷增長，已經超過了PC和Android的銀行木馬數量。
  • 「Cookie大盜」木馬分析報告
    利用該木馬，黑客能夠獲得受害用戶的QQ權限，利用受害者的QQ空間、QQ郵箱、說說等發布廣告欺詐信息，甚至長期偷窺受害者的QQ郵箱郵件。據悉，以往木馬盜號主要是盜「QQ號+密碼」，但「Cookie大盜」木馬的攻擊目標除了用戶的QQ號之外還有Cookie信息。黑客藉助「Cookie+ QQ號」，可輕鬆獲取受害者的QQ權限。
  • 共享充電寶可能被植入木馬程序 接入手機會被盜取個人信息
    警方表示，我們常使用的共享充電寶可能被植入木馬程序，一旦... 近日，公安部網安局微信公眾號發布了一則重要提醒：警惕身邊的共享充電寶陷阱。警方表示，我們常使用的共享充電寶可能被植入木馬程序，一旦插入手機，可能就會盜取個人信息。360網絡安全專家表示，充電寶安全問題不容忽視。
  • 充電寶可被植入木馬 360專家:做到這幾點,防止信息被盜
    警方表示，我們常使用的共享充電寶可能被植入木馬程序，一旦插入手機，可能就會盜取個人信息。360網絡安全專家表示，充電寶安全問題不容忽視。一方面充電寶產品本身的安全性能不一，市面上的產品魚龍混雜，建議優先選擇正規廠商和大品牌產品；另一方面，充電寶作為一款接入型產品，它在網絡安全方面的性能一直是被忽視的，很多產品都有可能被植入木馬病毒等，之後被接入手機等產品，成為木馬病的傳播工具。
  • 或被植入「木馬」程序洩露隱私,共享充電寶的數據安全隱患何解
    短短一根數據線，甚至可以被用來竊取用戶的隱私數據。這或許是許多消費者尚未注意到的數據安全隱患。近日，公安部網安局發布了一則提示「共享充電寶陷阱」的視頻，視頻所提的數據洩露問題給不少消費者敲了警鐘。對於植入「木馬」程序導致隱私洩露背後的原理，多位行業專家向AI財經社表示，「是否允許連接至本臺設備」，這一選項成為部分共享充電寶的安全隱患所在。如果消費者同意授權，「木馬」有條件將手機數據自動傳輸到指定伺服器，用戶的信息安全難以保障。
  • 亞信安全發布《亞信安全2019年度威脅回顧及預測》報告
    但需要注意的是，這些勒索病毒使用的技術卻在不斷更新，老病毒不斷變種、新病毒層出不窮，給企業防護帶來了巨大壓力。該勒索病毒加密後的文件擴展名為隨機字符，其不僅加密本機文件，還會加密區域網共享目錄中的文件，加密完成後會修改被感染機器桌面壁紙，進一步提示用戶勒索信息。作為GandCrab在2019年7月退出後的延續，Sodinokibi勒索病毒也同樣值得關注，其不僅利用了社會工程學的傳播方式，使用的外殼保護技術也在不斷更新和變換。
  • 360政企終端安全產品體系強勢「亮劍」,聚體系之力築牢大終端安全...
    鑄起終端安全防護的「千裡之堤」，共御網絡威脅挑戰的「洶湧澎湃」。10 月 15 日，「聚體系之力，護航大終端安全——360 政企終端安全產品體系發布會」亮劍 ISC 平臺。尤其伴隨新基建、5G、人工智慧、雲、大數據等新一代信息技術的大規模建設和應用，大量智能終端將會接入網絡，終端生態步入「大安全」時代。儘管經歷了幾十年的安全對抗，終端在未來網絡安全領域仍然是橋頭堡，是最前沿的陣地。一旦終端失守，則網無寧日。
  • 科普‖你知道什麼是木馬嗎?
    2、網銀木馬網際網路的發展促使網上交易日益普遍，網銀出現的初始就是為了安全而建，然不法分子卻投機取巧的對此也展開了一系列的侵害活動，也就出現了網銀木馬。網銀木馬主要針對網上交易系統而編寫的木馬程序，最終目的就是盜取用戶信息（包括卡號、密碼，甚至安全證書等）。
  • 騰訊雲安全報告「二」:SSH 暴力破解正從雲平臺向物聯網設備遷移
    據云鼎實驗室統計：SSH 暴力破解攻擊已遍布全球160多個國家，該攻擊主要瞄準使用默認帳號密碼的用戶。由於虛擬貨幣的興起，攻擊者不再僅僅利用通過 SSH 暴力破解控制的設備來進行 DDoS 攻擊，還用來挖礦，牟取利益。「SSH 暴力破解趨勢：從雲平臺向物聯網設備遷移 」正是騰訊雲於近日發布的發布2018上半年安全專題系列研究報告之一。
  • B站UP主「機智的黨妹」遭病毒勒索,2020年PC安全到底有多差?
    攻擊者可以利用被攻陷的部分內網主機和系統為跳板，利用既有資源獲取更高憑據與權限，譬如訪問其他主機，獲取包括郵箱、共享文件夾或者憑證信息在內的敏感資源。攻擊者最終可能獲取域控的訪問權限，擁有最高權限，完全控制系統基礎設施或與業務相關的關鍵帳戶。形象說來，橫向滲透就如同一個不斷擴散的螺旋，滲透的主機越多，圓圈就劃得越大，圈外空間就越來越小。
  • 騰訊移動安全實驗室首份行業報告
    騰訊移動安全實驗室最新的網絡調研數據顯示，26%的用戶遭遇過手機病毒，而38%的用戶對於手機病毒最大的擔心在於扣費、吸費。對於手機吸費病毒的成因、吸費原理、傳播方式、產業鏈狀況、以及規避對策等相關知識，73%的被調研用戶表示希望了解。
  • 被竊取的身高體重,健身APP隱私侵權被集中整治|GymSquare
    北京時間8月31日，工信部官網通報2020年第四批存在侵害用戶權益行為的App名單，共涉及101款App，在健身類APP中包含「每日瑜伽」、「Fit健身」。其中，「每日瑜伽」被通報原因為違規收集個人信息，「Fit健身」被通報原因為違規使用個人信息。
  • 黑客利用5G網絡中的漏洞竊取數據
    打開APP 黑客利用5G網絡中的漏洞竊取數據 超巨物聯 發表於 2020-12-23 16:09:38 報告討論了用戶和行動網路運營商的漏洞和威脅，這些漏洞和威脅源於新的獨立5G網絡核心的使用。 獨立5G網絡使用的HTTP/2和PFCP協議中存在的漏洞包括竊取用戶配置文件數據、模擬攻擊和偽造用戶身份驗證。 移動運營商目前正在運行基於上一代4G LTE基礎設施的非獨立5G網絡。
  • 蘋果App Store 新增 App「隱私」信息,你需要了解的都在這裡
    12 月 15 日，蘋果發布了 iOS/ iPad OS 14.3 和 macOS Big Sur 11.1，在 App Store 中引入了 App「隱私」信息 。蘋果在今年 6 月份的 WWDC 20 全球開發者大會上就宣布了這一消息，用戶可以直接在 App Store 中的 app 的產品頁面看到「隱私」信息。
  • 蘋果App Store新增App「隱私」信息,你需要了解的都在這裡
    [圖片]近幾年，因為手機 app 隱私洩露而導致的各種問題層出不窮，從通訊錄被上傳到最近的手機出廠時被植入木馬，消費者輕則被營銷號整日騷擾，重則財產損失嚴重，手機端的隱私安全越來越受到消費者關注。
  • Anubis銀行木馬「大流行」來襲,360安全大腦獨家揭露安全危情
    即使是技術小白，也可根據提示填寫相關配置，製作自己的Anubis銀行木馬，甚至可以直接根據網上洩露的後端代碼，成為Anubis銀行木馬運營者。接下來，360安全大腦進一步對網站進行分析，發現該網站可提供大量圖標用以偽裝木馬。
  • 微信清粉大騙局,木馬病毒找上你!
    隨著網際網路新生事物的崛起，網絡詐騙手段不斷翻新，已經嚴重危害民眾的財產安全。不少不法分子的詐騙手段花樣百出，利用新生事物進行網絡詐騙，「微信清粉詐騙」正是其中典型。相信不少人都收到過免費清理「殭屍粉」的消息，或是自己就曾經操作過此類消息，當你點開所謂的清粉連結、二維碼時，你就已經掉入不法分子的陷阱，再按照步驟繼續就很有可能將木馬病毒植入手機，導致微信號被盜好友信息被竊取等風險。因為大多數用戶，沒有安全防範意識，便給許多不法分子提供機會，他們打著「免費清粉」的旗號開始詐騙。