報告作者:360核心安全部門360證書

0x00前言

《絕地求生:大逃殺》自Steam上線以來一直占據(jù)銷量榜榜首，可見這款游戲的火爆程度。用戶紛紛加入“吃雞大軍”，“耶穌求生:大逃亡”要求用戶花98元在Steam Mall購買，才能開始“吃雞”。黑產(chǎn)從業(yè)者也找到了“商機”，盯著用戶手里的Steam賬號。他們試圖通過竊取蒸汽賬戶數(shù)據(jù)并出售來獲利。

發(fā)布“郵箱數(shù)據(jù)”

而且我們還發(fā)現(xiàn)，這些黑制作人都在貼吧和QQ群里試圖出售自己的非法Steam數(shù)據(jù)，大量的非法Steam數(shù)據(jù)交易都發(fā)布在“郵箱數(shù)據(jù)”貼吧里。此外，我們的360云安全系統(tǒng)監(jiān)控最近發(fā)現(xiàn)，一些不法分子通過語音轉(zhuǎn)換器、插件、加速器等方式傳播竊取數(shù)據(jù)木馬。木馬一旦運行，就能成功竊取用戶的QQ號和動態(tài)Skey。

為了方便用戶，騰訊可以在已登錄的QQ電腦中使用“快速登錄”的方法。在使用這種登錄方式的過程中，會生成一個密鑰，這是另一張用于QQ登錄的身份證。黑客可以用這個密鑰識別用戶的QQ，登錄郵箱，QQ空，看相冊，寫日記，發(fā)帖聊天，微博，財付通，QB。

使用QQkey登錄郵箱工具

通過偽裝steam插件傳播的犯罪分子，會通過快速登錄QQ郵箱，竊取綁定到QQ郵箱的Steam賬戶及相關(guān)財產(chǎn)。

360-CERT分析過這個漏洞，認為該漏洞影響嚴重；目前相關(guān)報告已經(jīng)公開，建議相關(guān)用戶盡快制定評估方案。

0x01產(chǎn)業(yè)鏈分析

我們嘗試與貼吧里的一個“人販子”溝通，嘗試還原整個黑客產(chǎn)業(yè)鏈的狀況。

在溝通過程中，“人販子”給我們展示了盜取Steam賬號過程中需要的工具和測試數(shù)據(jù)。從工具上，我們發(fā)現(xiàn)他們用來盜取QQKey的郵件接收方式主要有騰訊企業(yè)郵箱和ASP郵件接收。

盜號木馬生成器，QQKEY記錄器

“人販子”也告訴了我們這些工具的價格和圈里的源代碼。整套盜號木馬生成器一套易語言源碼的價格是1500，而對于一些不懂易語言源碼的工作室來說，主要是購買800左右價格的QQKey盜號木馬生成器，甚至用來登錄QQKey的伐木工也需要400。

我們要求“人販子”測試木馬，因為我們需要測試盜號木馬是否可以避免殺死360。“人販子”說，它的木馬可以通過360，但文件下載后就被QVM殺死了。其實木馬本身的技術(shù)門檻并不高。整個黑客過程中最重要的是賬號數(shù)據(jù)量，在后續(xù)的溝通過程中，我們也“人販子”得知他們的手段主要是引流和傳播，并再次向我們展示了他們行業(yè)的“外號寶書”。

最后，我們把這種黑色產(chǎn)業(yè)鏈的情況還原如下:

0x02竊取QQkey

根據(jù)最近捕獲的樣本，我們發(fā)現(xiàn)這種盜日木馬主要有兩種竊取QQkey的攻擊方式。

用QQ快速登錄盜取QQ密鑰

通過訪問http://localhost . ptlogin 2 . qq . com:4300/[URL]獲取用戶登錄QQ的密鑰，并將Set-Cookie中的clientKey發(fā)送到牧民中的服務(wù)器(464690486.blkj.tk)。

牧民服務(wù)器通過qqkey.php接收QQ密鑰進程存儲，傳輸?shù)臄?shù)據(jù)主要包括QQ號、QQ名和QQ密鑰。

將qq號碼和qq登錄密鑰發(fā)送到指定的服務(wù)器

信息也會發(fā)送到指定的郵箱

特洛伊木馬分發(fā)程序的接收網(wǎng)站流量:

注:此圖來自360網(wǎng)絡(luò)安全研究所

從網(wǎng)站流量來看，從2018年3月30日開始網(wǎng)站流量突然暴漲，我們也貼出了該站的訪問日志。

另一個特洛伊木馬分發(fā)程序的電子郵件地址:

這說明收獲不便宜。

暴力搜索內(nèi)存提取QQ密鑰并上傳到服務(wù)器或郵箱

閱讀QQ.exe記憶

將Qq密鑰發(fā)送到服務(wù)器

登錄一個黑客的服務(wù)器，大約半個小時就可以看到2000多個QQ賬號和密碼被盜。

服務(wù)器上的Qq密鑰記錄

新品種

關(guān)于這個新變種，我們發(fā)現(xiàn)他用來獲取QQkey的方法并沒有改變(這個方法目前在國內(nèi)只有360)

QQ密鑰仍然通過QQ快速登錄界面獲取，如下圖所示:

但是，我們發(fā)現(xiàn)他上傳QQkey的方式發(fā)生了變化，從之前通過電子郵件和ASP接收改為socket通信，如下圖，木馬正在連接C & ampc服務(wù)器:

我們通過技術(shù)手段獲得了這個變種的木馬生成器，包括:自動訪問QQ郵箱進行黑客攻擊，管理獲得的QQkey，自動生成木馬等?？梢姽δ芊浅｝R全。

其中我們了解到服務(wù)器的流量在4月11日到4月12日之間飆升，說明變體應(yīng)該會在4月11日發(fā)布。后來，我們截獲了這個變種，C & ampc服務(wù)器的流程圖如下:

注:此圖來自360網(wǎng)絡(luò)安全研究所

0x03 IOC

12e13e.exe 55AC 18 FB 660 F 726 EB 801 B8F 03 F9 EBC 37

wrqdfq.exe 37575d 21 b 8 CD 16 ABA 4c 3e 1b 3013 B1 e 31

QQPass.exe 6cb 90 f 793 db 09 fef 0077 e 599 c 6 ff 6f 20

0x04時間線預(yù)防建議

1.立即下載并安裝“360安全衛(wèi)士”來防范此類木馬。

2.不要因為使用輔助軟件而關(guān)閉安全軟件的保護功能。

0x05摘要

360云安全大數(shù)據(jù)顯示，這種類型的木馬數(shù)量不斷增加，不僅可能影響用戶Steam賬戶的安全，還可能影響用戶其他QQ服務(wù)的安全，并可能導(dǎo)致用戶遭受巨大的經(jīng)濟損失。

建議用戶立即下載并安裝國內(nèi)唯一能殺死此類樣本的“360保安”。

注:360CERT官網(wǎng)提供完整的Steam New盜號木馬和產(chǎn)業(yè)鏈分析報告PDF下載。點擊閱讀全文