“2345導航站”彈窗廣告攜帶病毒，盜取QQ和多款熱門遊戲賬號

一、概述

4月1日凌晨，火絨安全團隊發出警報，部分“2345導航站”首頁的彈窗廣告攜帶盜號木馬，該病毒會偷取QQ、遊戲平臺（steam、WeGame）、知名遊戲（地下城與勇士、英雄聯盟、穿越火線）的賬號。這是一次設計精巧、組織周密的大規模盜號行動，利用週末時間突然發起攻擊，主要目標是網吧遊戲用戶。

火絨工程師分析，部分“2345導航站”首頁右下角會彈出彈窗廣告（上圖紅色箭頭所指），該廣告頁面一經彈出，即可自動下載病毒，無需用戶點擊。病毒下載鏈接自動激活後，首先訪問跳板網站“yyakeq.cn”（存放跳板腳本以及flash漏洞），然後再從“ce56b.cn”網站下載病毒，而盜取的QQ、遊戲等賬號則被上傳到“zouxian1.cn”網站。

該病毒利用IE瀏覽器漏洞和Flash漏洞進行傳播，受影響Flash控件版本從21.0.0.180至31.0.0.160。所有使用360、搜狗等主流瀏覽器的用戶，如果其Flash控件是以上版本，都會被感染。

該病毒整個傳播鏈條及所涉相關企業、疑似團伙嫌疑人等信息，請閱讀後附的詳細分析報告。

二、樣本分析

近期，火絨發現2345、hao774等多個2345旗下導航站中廣告內容帶有漏洞攻擊代碼。通過分析確認，我們初步認定2345旗下導航站被投毒。廣告內容涉及瀏覽器漏洞和Flash漏洞，漏洞代碼執行後會從C&C服務器（hxxps:// www.yyakeq.cn）下載執行病毒代碼，現階段火絨發現的病毒代碼內容多為盜號病毒。該漏洞攻擊只針對特定的推廣計費號，再聯繫其廣告內容“高價在線回收所有網遊裝備/金幣”，我們推斷此次攻擊主要針對對象主要為網絡遊戲人群，且針對性極強。2345導航站中相關廣告內容和相關HTML代碼，如下圖所示：

2345導航站中相關廣告內容和相關HTML代碼

從頁面代碼看，該廣告展示代碼的植入也非常“奇特”，因為廣告展示鏈接是硬編碼在頁面代碼中的。根據web.archive.org的抓取結果，該廣告展示代碼應該於2019年3月25日至2019年3月28日期間首次上線，截至本報告撰寫時，該代碼仍然有效且漏洞和病毒邏輯仍可激活。惡意廣告內容為被包含在iframe標籤中的廣告頁面。頁面嵌套關係，如下圖所示：

病毒頁面嵌套調用關係

tj.html中首先會默認加載ad.html利用Flash漏洞進行攻擊，之後再根據瀏覽器的User Agent加載不同的IE漏洞利用代碼（banner.html或cookie.html）。相關代碼，如下圖所示：

頁面加載代碼

ad.html中的HTML代碼中包含有混淆後的JavaScript代碼。相關代碼，如下圖所示：

ad.html中的HTML代碼

ad.html中代碼會被先後解密兩次，最終得到漏洞調用代碼，根據漏洞利用代碼的調用邏輯，我們可以粗略確認受影響的Flash版本範圍為21.0.0.180 至 31.0.0.160之間。相關代碼，如下圖所示：

最終執行的漏洞攻擊相關調用代碼

漏洞被觸發後，會調用遠程HTA腳本會從C&C服務器地址（hxxp://www.ce56b.cn/logo.swf）下載病毒數據到本地進行解密執行，被解密後的病毒數據為下載者病毒。相關進程調用關係，如下圖所示：

漏洞觸發後的進程調用關係

病毒解密相關代碼，如下圖所示：

病毒解密代碼

banner.html和cookie.html最終也會執行類似的遠程HTA腳本最終通過相同的C&C服務器地址下載執行相同惡意代碼。相關代碼，如下圖所示：

解密遠程HTA腳本地址

漏洞觸發代碼

漏洞被觸發後，最終被下載執行的下載者病毒會根據C&C服務器返回的配置（hxxp://www.ce56b.cn/tj.txt），下載盜號木馬到本地進行執行。存在被盜號風險的軟件包括：Steam遊戲平臺、WeGame遊戲平臺、騰訊QQ、地下城與勇士、穿越火線、英雄聯盟。相關配置，如下圖所示：

下載者病毒配置

騰訊QQ、地下城與勇士、穿越火線遊戲的盜號木馬均為Delphi編寫，通過偽造遊戲登陸界面，欺騙誘導用戶輸入遊戲賬號密碼，獲取到賬號密碼會發送到遠程C&C服務器（hxxp://we.zouxian1.cn）。相關代碼，如下圖所示：

提交賬號與密碼

英雄聯盟、WeGame遊戲平臺同樣也是通過偽造遊戲的登陸界面，獲取用戶的遊戲賬號和密碼，並且賬號密碼也會發送到遠程C&C服務器（hxxp://we.zouxian1.cn）。相關代碼，如下圖所示：

提交賬號與密碼

在盜取Steam遊戲平臺賬號密碼 時，首先該病毒會釋放libsteam.dll到steam目錄下,並調用該動態庫的導出函數InstallHook 用於安裝全局鉤子。相關代碼，如下圖所示：

調用導出函數

該動態庫會安裝全局鉤子，用於將自身注入到steam進程，當注入到steam進程後SteamUI.dll中TextEntry控件相關的函數,用於截取用戶的賬號密碼輸入。注入部分代碼，如下圖所示：

安裝全局鉤子

HOOK SteamUI.dll用於截獲用戶的賬號密碼。HOOK 相關代碼，如下圖所示：

HOOK SteamUI.dll

被盜取的賬號，同樣也會發送到遠程C&C服務器（hxxp://zouxian1.cn）。相關代碼，如下圖所示：

提交賬號與密碼

三、溯源分析

本次報告過程中獲取到的可溯源信息包括網馬信息和病毒相關信息，下文分塊進行溯源分析。

網馬溯源

通過對域名yyakeq.cn和ce56b.cn的溯源，發現上述域名分別由名為“武漢躍譜騰科技有限公司”和名為“邵東綠設空間工程設計有限公司”的公司註冊，且兩公司還註冊了至少幾千個名稱看似毫無含義、近乎隨機生成的域名，其中一些域名指向頁面包含明顯的欺詐內容（如下圖所示），所以不排除這些域名是想在未來用作C&C服務的DGA（Dynamic Generation Algorithm）域名。

其中一個域名指向的頁面內容

yyakeq.cn域名註冊信息

ce56b.cn域名註冊信息

部分疑似DGA域名

部分疑似DGA域名

盜號病毒溯源

通過對盜號病毒收集URL的Whois查詢，可以得到如下信息：

域名zouxian1.cn註冊信息

另外通過該域名註冊信息的聯繫人和聯繫郵箱反查，此人以同樣的命名方式於2018年4月20日共註冊了15個近似域名：

域名註冊反查結果

另外，通過ICP備案查詢發現，其中部分域名還經過了ICP個人備案：

ICP備案查詢結果

並且同日（2018年4月20日），此人還用同樣的QQ郵箱（[email protected]）和不同的姓名註冊了另外兩個形式與前述域名相似的域名，如下圖所示：

域名註冊反查結果

四、附錄

文中涉及樣本SHA256：

*本文作者：火絨安全，轉載自FreeBuf.COM