易语言破解版捆绑窃取用户源码 自动上传至服务器

Time丨Brand

前言
  本人萌新一枚，在本版第一次发帖，可能有点水，还请各位大佬多多关照。


基本信息

  文件名称： 易语言5.8 内置多种插件 支持黑月编译.7z
  文件大小： 223097 KB ( 217 MB)
  文件MD5 校验值：4B3E3C303284D2BB8773F959A4C42DA7
  文件SHA1 校验值：c6885a864ef3b28c5879b799a6b82e78f301c7b8


简介

  1、打开易语言源程序后，窃取用户源码，自动上传至 FTP 服务器。
  2、易语言运行后CPU占用50%左右，疑似挖矿病毒或在收集用户磁盘信息，本人技术有限，暂不对此研究，在此抛砖引玉，向各位大佬学习。


被感染系统及网络症状

  1、打开易语言源码后，杀毒软件网络连接监控软件中，易语言进程包含21号端口的网络连接，且存在上传流量异常。
  2、易语言运行后CPU占用异常，始终占用50%左右。
  3、样图：
      

      


网络症状

  每次打开易语言源码后，建立网络连接 188.131.235.100:21，将用户源码上传至FTP服务器。


详细分析

  1、打开 Wireshark 抓包软件，开始抓包。
  2、使用此样本，随便打开一个易语言源码，遂即出现与服务器建立的相关链接。
        
  3、追踪TCP流，获得上传的FTP服务器账户信息。
      
  4、使用FTP客户端成功登录，发现目录空白，随便上传一个文件，上传成功，但刷新后又是空白。
        由此可知服务器限制了此账号的访问权限，接着就没怎么研究，欢迎各位大佬继续跟进。


相关服务器信息分析

  窃取源码的FTP服务器信息，该账号只有上传权限，不能修改删除：
    主机名：188.131.235.100
    端口：21
    用户名：FtpUser
    密码：qazxswpanzer


预防及修复措施

  1、删除此易语言版本的相关目录。
  2、杀毒软件查杀。


技术热点及总结

  1、大家还是谨慎下载网络论坛上的编程、服务器连接、FTP工具等，最好从官网下载。
  2、遇到防火墙网络连接提醒，谨慎给予相关权限。
  3、使用正版软件。


样本下载

  链接：https://pan.baidu.com/s/1ywfeiWb4x9ygZhynx4Kx4Q 提取码：i34y
  解压密码：52pojie

youngzhongjie

我刚刚用公司的100M上行专线，上传了xp，win7,win8,win10,server2008-2019,还有其他几乎所有Linux系统的iso文件

总差一点点

我来补充个
查询此ip为腾讯云的，应该可以举报吧，哈哈哈

另外百度搜索FTP的密码"qazxswpanzer"
发现了一个和密码一样的百度ID，恰好问题问的也是易语言~
https://zhidao.baidu.com/question/371162427.html

JemmyloveJenny

想要搞他的话，可以给他FTP里面上传垃圾嘛……
多几个人一起上传能把他的带宽全部占完
我上传了一个Win10的ISO

青鸾火凤

咱也不敢问，咱也不敢说，咱不让它联网就行了

fjqisba

下载了程序大致看了看,很简单。
易语言会检索lib目录下的文件并加载,目录下有一个lib.dll。

初音未来

总差一点点 发表于 2019-5-19 19:27
我来补充个
查询此ip为腾讯云的，应该可以举报吧，哈哈哈

手机号17631637556查出来了，可以塞进轰炸机

三片叶子的小草

既然你们都上传ISO ，那我就上传PS吧，希望他能做个好看的UI

Hmily

总差一点点 发表于 2019-5-19 19:27
我来补充个
查询此ip为腾讯云的，应该可以举报吧，哈哈哈

@神の心痛 这木马你写的？

fnp902003

外面那些野生破解,各种问题.不敢用啊.

deepbreathe

我都把52当资源集散地了。软件用的放到少。

Su、

下载的非官方的破解版怪起正版的来了

Time丨Brand

Su、 发表于 2019-5-19 14:26
下载的非官方的破解版怪起正版的来了

我的锅，帖子标题没写清楚，改了

Raohz520

你让我恐慌了起来，幸好我不怎么会写程序！

ralf

呵呵 我也比较喜欢玩红警，80后的记忆。

alicc

我很好奇你们那里下载的