吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 39536|回复: 384
上一主题 下一主题
收起左侧

[PC样本分析] QQ游戏外挂收集色情文件 火绒提示切勿使用

    [复制链接]
跳转到指定楼层
楼主
火绒安全实验室 发表于 2021-4-2 21:27 回帖奖励
使用论坛附件上传样本压缩包时必须使用压缩密码保护,压缩密码:52pojie,否则会导致论坛被杀毒软件等误报,论坛有权随时删除相关附件和帖子!
病毒分析分区附件样本、网址谨慎下载点击,可能对计算机产生破坏,仅供安全人员在法律允许范围内研究,禁止非法用途!
禁止求非法渗透测试、非法网络攻击、获取隐私等违法内容,即使对方是非法内容,也应向警方求助!
【快讯】

近期,火绒工程师根据用户反馈,发现一款名为“QQ游戏智能机器人”的外挂程序,会针对广大游戏玩家,搜集和回传隐私数据,包括带有色情相关关键字的文件及含密码、账号、通信录、笔记等关键字的文件,被搜集的文件类型包括文档、图片、视频等。火绒用户无需担心,火绒安全软件已对该木马程序进行拦截查杀。



通过分析发现,该木马程序制作者通过云控会将任意QQ号列入黑名单,并删除其大量文件。除此之外,提供该木马程序的下载站,甚至会提醒用户“个别杀软误报本软件,请不要相信,本软件不是病毒木马,运行辅助前请请先退出杀软“。

游戏玩家受众较广,从事网络游戏外挂黑产的团队随之增多,市面上流通的外挂软件种类也不断增加。这类灰色程序软件,通常会携带各类病毒,威胁用户安全。火绒工程师提醒大家,请谨慎下载不明软件,如需下载应用软件请通过正规官网链接,并使用火绒及时查杀;如果必须使用某些不明程序,可以提前开启安全软件进行扫描、查杀,或者前往火绒论坛求助,确保文件、程序安全后再运行,以免遭遇风险。

附:【分析报告】

一、详细分析       
近期根据用户反馈,在运行“QQ游戏智能机器人”程序之后,电脑中出现大量文件被删除的现象,恶意程序相关主页hxxp://www.qqfzn.com。经过分析发现,该模块包含云控上传文件以及删除文件逻辑。当用户使用该软件时,便会根据配置上传指定文件(上传开关暂未开启)。同时当用户QQ号或点卡卡号在该病毒配置的黑名单中时,便会遍历磁盘删除用户的文件。软件界面,如下图所示:


软件界面

病毒会从C&C服务器(hxxp://www.bseas.com/sm/qb6/k.xml)请求配置,里面包含升级,黑名单,上传文件配置等信息。部分配置文件内容,如下图所示:


配置文件

病毒通过遍历QQ UserDataSavePath目录的方式获得用户机器上登录过的QQ号,如果用户QQ账号或点卡卡号在黑名单中,那么病毒便会遍历磁盘,删除除了后缀名为.exe、.dll、.sys、.ini、.txt、.db、.lnk、.log以及配置文件中fileextp字段后缀名以外的文件。相关代码,如下图所示:


检查用户QQ是否在黑名单中

除此之外,恶意程序还会根据上传配置中fileext和fileext2字段,遍历上传扩展名为.doc、.docx、.xls、.xlsx、.ppt、.pptx、.jpg、.txt、.zip、.rar、.mp4、.wmv、.mpeg的文件(且上传文件大小需小于16M)。tryflag字段为尝试上传用户文件的开关,根据火绒现阶段请求结果,该开关暂为关闭状态。相关逻辑代码如下图所示:


遍历磁盘删除文件及上传指定后缀名文件相关逻辑

文件上传时,恶意代码会判断文件名中是否带有指定的关键字(yeskey上传文件关键、nokey为禁止上传的关键字)。上传文件控制关键字列表,如下图所示:


上传文件控制关键字列表

禁止上传的控制关键字列表,如下图所示:


禁止上传的控制关键字列表

文件上传相关代码逻辑,如下图所示:


文件上传相关代码逻辑

二、        附录
病毒hash

免费评分

参与人数 178吾爱币 +151 热心值 +158 收起 理由
yangchen520 + 1 谢谢@Thanks!
TianXiaYu + 1 + 1 谢谢@Thanks!
slw1230520 + 1 我很赞同!
wuaiwu77 + 1 + 1 谢谢@Thanks!
fishyangni + 1 用心讨论,共获提升!
r749005472 + 1 我很赞同!
zhangjun3016 + 1 + 1 热心回复!
YugiMuto + 1 我很赞同!
SuperGiao + 1 + 1 谢谢@Thanks!
wanleya + 1 我很赞同!
szxszx01 + 1 + 1 谢谢@Thanks!
z670657219 + 1 + 1 谢谢@Thanks!
抱歉、 + 1 谢谢@Thanks!
ElliottNumb + 1 + 1 我很赞同!
yulin456 + 1 我很赞同!
King_C + 1 + 1 作者缺片
hellozhanghe + 1 + 1 热心回复!
剑荡八荒 + 1 谢谢@Thanks!
AE86GG + 1 我很赞同!
lishixin23 + 1 + 1 用心讨论,共获提升!
请叫我天线表表 + 1 + 1 用心讨论,共获提升!
太吾太吾 + 1 谢谢@Thanks!
Tylerlover + 1 + 1 鼓励转贴优秀软件安全工具和文档!
changanhuakai + 1 + 1 鼓励转贴优秀软件安全工具和文档!
untimate1234 + 1 + 1 我很赞同!
永恒亦云 + 1 + 1 我很赞同!
Cadoner + 1 谢谢@Thanks!
情书鹏小孩 + 1 这软件作者是多饥渴
怎样共勉 + 1 + 1 我很赞同!
汤姆和托尼 + 1 热心回复!
logafo + 1 + 1 谢谢@Thanks!
Leng_G_666 + 1 我很赞同!
SouperGeng + 1 + 1 我很赞同!
weiyinan0617 + 1 + 1 谢谢@Thanks!
JacklyMa + 1 + 1 我很赞同!
vesop + 1 + 1 我很赞同!
panda0107 + 1 我很赞同!
wenbo998 + 1 + 1 个人认为可能是为了偷取用户自拍的小电影来威胁该用户赚钱非缺片
huqi0010 + 1 + 1 我很赞同!
Jz95 + 1 + 1 我很赞同!
5erlT + 1 + 1 谢谢@Thanks!
yujay8027 + 1 一直用火绒,从来没让我失望过。
lyh19870628 + 1 我很赞同!
jefftbb + 1 用心讨论,共获提升!
skjianw + 1 + 1 谢谢@Thanks!
神经病院院长 + 1 + 1 谢谢@Thanks!
9324 + 1 + 1 我很赞同!
快意恩仇 + 1 + 1 夺笋呐,偷玩家片子
浮鱼草尾 + 1 + 1 热心回复!
JK3158787 + 1 + 1 热心回复!
Ricardo41 + 1 + 1 热心回复!
kingaero + 2 + 1 谢谢@Thanks!
天天66 + 1 + 1 我很赞同!
MYlindaxia + 1 + 1 我很赞同!
gaosld + 1 + 1 热心回复!
chenbo21 + 1 + 1 我很赞同!
zhaofa11 + 1 + 1 已经处理,感谢您对吾爱破解论坛的支持!
花之舞 + 1 + 1 用心讨论,共获提升!
星辰不会飞 + 1 + 1 热心回复!
唯一11044 + 1 + 1 我很赞同!
这里Air + 1 我很赞同!
_幻陌 + 1 + 1 谢谢@Thanks!
TrueTrain + 1 + 1 我很赞同!
sayysl + 1 + 1 鼓励转贴优秀软件安全工具和文档!
b86325438 + 1 + 1 我很赞同!
程小星 + 1 谢谢@Thanks!
lihaole + 1 + 1 谢谢@Thanks!
tanksf + 1 用心讨论,共获提升!
lxdddddwy + 1 + 1 感谢您的宝贵建议,我们会努力争取做得更好!
进击的喵星人 + 1 我很赞同!
Referer + 1 + 1 谢谢@Thanks!
大头寀 + 1 + 1 谢谢@Thanks!
泡泡泡芙 + 1 热心回复!
zyb582873580 + 1 + 1 热心回复!
壹白 + 1 谢谢@Thanks!
SANFIUR + 1 + 1 热心回复!
鹿晗 + 1 + 1 爷青结,我用了五年
nmgwangshuo + 1 + 1 热心回复!
巡山的小旋风 + 1 + 1 我很赞同!
mfl666 + 1 + 1 热心回复!
三仙 + 1 + 1 我很赞同!
醉酒棕熊 + 1 谢谢@Thanks!
AnNimUJ + 1 + 1 非常喜欢火绒
胖子最多情 + 1 + 1 感谢您的宝贵建议,我们会努力争取做得更好!
zz110 + 1 + 1 我很赞同!
妖妖天瑜 + 1 + 1 我很赞同!
d68335841 + 1 + 1 谢谢@Thanks!
ocean9587 + 1 + 1 :-O长知识了看来以后要注意了!
fofawb + 1 + 1 鼓励转贴优秀软件安全工具和文档!
hjm1206 + 1 + 1 我很赞同!
有声皆苦 + 1 + 1 用了你们的火绒,这里给你1点分
sparksleo + 1 + 1 我很赞同!
TechVider + 1 + 1 谢谢@Thanks!
落花时节又逢君 + 1 + 1 我很赞同!
山上雪云间月 + 1 + 1 我很赞同!
彬仔。 + 1 谢谢@Thanks!
chinaye123 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
SunnyJun + 1 + 1 谢谢@Thanks!
JimOvO + 1 热心回复!
lkl2425572 + 1 谢谢@Thanks!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

推荐
wolflycc 发表于 2021-4-2 21:52
写这个程序的缺片片!?
推荐
a454635280 发表于 2021-4-2 23:15
DongQi 发表于 2021-4-2 21:45
wocao,我前段时间还用过用来打台球

完了,你的私人珍藏被共享了!
推荐
微快播 发表于 2021-4-2 22:10
推荐
ytlk0535 发表于 2021-4-2 21:41
感谢楼主分析,共享资料
4#
helanzhu1 发表于 2021-4-2 21:35
支持,感谢分享!!!
5#
jackhs 发表于 2021-4-2 21:43
前排留名,不过火绒有些还是差点火候
6#
DongQi 发表于 2021-4-2 21:45
wocao,我前段时间还用过用来打台球
7#
Littleyoda 发表于 2021-4-2 21:51
没想到这些看起来朴素的软件也。。
8#
louis16s 发表于 2021-4-2 21:54
感谢楼主
9#
无心ovo 发表于 2021-4-2 21:56
DongQi 发表于 2021-4-2 21:45
wocao,我前段时间还用过用来打台球

打台球都要开挂吗?
10#
jia16899199 发表于 2021-4-2 21:59
支持 感谢分享
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-24 08:54

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表