整合營銷服務商
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
、概述
4月1日凌晨，火絨安全團隊發出警報，部分“2345導航站”首頁的彈窗廣告攜帶盜號木馬，該病毒會偷取QQ、游戲平臺（steam、WeGame）、知名游戲（地下城與勇士、英雄聯盟、穿越火線）的賬號。這是一次設計精巧、組織周密的大規模盜號行動，利用周末時間突然發起攻擊，主要目標是網吧游戲用戶。
火絨工程師分析，部分“2345導航站”首頁右下角會彈出彈窗廣告（上圖紅色箭頭所指），該廣告頁面一經彈出，即可自動下載病毒，無需用戶點擊。病毒下載鏈接自動激活后，首先訪問跳板網站“yyakeq.cn”（存放跳板腳本以及flash漏洞），然后再從“ce56b.cn”網站下載病毒，而盜取的QQ、游戲等賬號則被上傳到“zouxian1.cn”網站。
該病毒利用IE瀏覽器漏洞和Flash漏洞進行傳播，受影響Flash控件版本從21.0.0.180至31.0.0.160。所有使用360、搜狗等主流瀏覽器的用戶，如果其Flash控件是以上版本，都會被感染。
該病毒整個傳播鏈條及所涉相關企業、疑似團伙嫌疑人等信息，請閱讀后附的詳細分析報告。
二、樣本分析
近期，火絨發現2345、hao774等多個2345旗下導航站中廣告內容帶有漏洞攻擊代碼。通過分析確認，我們初步認定2345旗下導航站被投毒。廣告內容涉及瀏覽器漏洞和Flash漏洞，漏洞代碼執行后會從C&C服務器（hxxps:// www.yyakeq.cn）下載執行病毒代碼，現階段火絨發現的病毒代碼內容多為盜號病毒。該漏洞攻擊只針對特定的推廣計費號，再聯系其廣告內容“高價在線回收所有網游裝備/金幣”，我們推斷此次攻擊主要針對對象主要為網絡游戲人群，且針對性極強。2345導航站中相關廣告內容和相關HTML代碼，如下圖所示：
2345導航站中相關廣告內容和相關HTML代碼
從頁面代碼看，該廣告展示代碼的植入也非常“奇特”，因為廣告展示鏈接是硬編碼在頁面代碼中的。根據web.archive.org的抓取結果，該廣告展示代碼應該于2019年3月25日至2019年3月28日期間首次上線，截至本報告撰寫時，該代碼仍然有效且漏洞和病毒邏輯仍可激活。惡意廣告內容為被包含在iframe標簽中的廣告頁面。頁面嵌套關系，如下圖所示：
病毒頁面嵌套調用關系
tj.html中首先會默認加載ad.html利用Flash漏洞進行攻擊，之后再根據瀏覽器的User Agent加載不同的IE漏洞利用代碼（banner.html或cookie.html）。相關代碼，如下圖所示：
頁面加載代碼
ad.html中的HTML代碼中包含有混淆后的JavaScript代碼。相關代碼，如下圖所示：
ad.html中的HTML代碼
ad.html中代碼會被先后解密兩次，最終得到漏洞調用代碼，根據漏洞利用代碼的調用邏輯，我們可以粗略確認受影響的Flash版本范圍為21.0.0.180 至 31.0.0.160之間。相關代碼，如下圖所示：
最終執行的漏洞攻擊相關調用代碼
漏洞被觸發后，會調用遠程HTA腳本會從C&C服務器地址（hxxp://www.ce56b.cn/logo.swf）下載病毒數據到本地進行解密執行，被解密后的病毒數據為下載者病毒。相關進程調用關系，如下圖所示：
漏洞觸發后的進程調用關系
病毒解密相關代碼，如下圖所示：
病毒解密代碼
banner.html和cookie.html最終也會執行類似的遠程HTA腳本最終通過相同的C&C服務器地址下載執行相同惡意代碼。相關代碼，如下圖所示：
解密遠程HTA腳本地址
漏洞觸發代碼
漏洞被觸發后，最終被下載執行的下載者病毒會根據C&C服務器返回的配置（hxxp://www.ce56b.cn/tj.txt），下載盜號木馬到本地進行執行。存在被盜號風險的軟件包括：Steam游戲平臺、WeGame游戲平臺、騰訊QQ、地下城與勇士、穿越火線、英雄聯盟。相關配置，如下圖所示：
下載者病毒配置
騰訊QQ、地下城與勇士、穿越火線游戲的盜號木馬均為Delphi編寫，通過偽造游戲登陸界面，欺騙誘導用戶輸入游戲賬號密碼，獲取到賬號密碼會發送到遠程C&C服務器（hxxp://we.zouxian1.cn）。相關代碼，如下圖所示：
提交賬號與密碼
英雄聯盟、WeGame游戲平臺同樣也是通過偽造游戲的登陸界面，獲取用戶的游戲賬號和密碼，并且賬號密碼也會發送到遠程C&C服務器（hxxp://we.zouxian1.cn）。相關代碼，如下圖所示：
提交賬號與密碼
在盜取Steam游戲平臺賬號密碼 時，首先該病毒會釋放libsteam.dll到steam目錄下,并調用該動態庫的導出函數InstallHook 用于安裝全局鉤子。相關代碼，如下圖所示：
調用導出函數
該動態庫會安裝全局鉤子，用于將自身注入到steam進程，當注入到steam進程后SteamUI.dll中TextEntry控件相關的函數,用于截取用戶的賬號密碼輸入。注入部分代碼，如下圖所示：
安裝全局鉤子
HOOK SteamUI.dll用于截獲用戶的賬號密碼。HOOK 相關代碼，如下圖所示：
HOOK SteamUI.dll
被盜取的賬號，同樣也會發送到遠程C&C服務器（hxxp://zouxian1.cn）。相關代碼，如下圖所示：
提交賬號與密碼
三、溯源分析
本次報告過程中獲取到的可溯源信息包括網馬信息和病毒相關信息，下文分塊進行溯源分析。
網馬溯源
通過對域名yyakeq.cn和ce56b.cn的溯源，發現上述域名分別由名為“武漢躍譜騰科技有限公司”和名為“邵東綠設空間工程設計有限公司”的公司注冊，且兩公司還注冊了至少幾千個名稱看似毫無含義、近乎隨機生成的域名，其中一些域名指向頁面包含明顯的欺詐內容（如下圖所示），所以不排除這些域名是想在未來用作C&C服務的DGA（Dynamic Generation Algorithm）域名。
其中一個域名指向的頁面內容
yyakeq.cn域名注冊信息
ce56b.cn域名注冊信息
部分疑似DGA域名
部分疑似DGA域名
盜號病毒溯源
通過對盜號病毒收集URL的Whois查詢，可以得到如下信息：
域名zouxian1.cn注冊信息
另外通過該域名注冊信息的聯系人和聯系郵箱反查，此人以同樣的命名方式于2018年4月20日共注冊了15個近似域名：
域名注冊反查結果
另外，通過ICP備案查詢發現，其中部分域名還經過了ICP個人備案：
ICP備案查詢結果
并且同日（2018年4月20日），此人還用同樣的QQ郵箱（2659869342@qq.com）和不同的姓名注冊了另外兩個形式與前述域名相似的域名，如下圖所示：
域名注冊反查結果
四、附錄
文中涉及樣本SHA256：
*本文作者：火絨安全，轉載自FreeBuf.COM
何支持開源開發者？捐贈還是廣告？多個流行的 NPM JS 庫選擇了廣告。
作者/來源： 安華金和
如何支持開源開發者？捐贈還是廣告？多個流行的 NPM JS 庫選擇了廣告。
core-js 的作者通過廣告推銷自己，而 Standard 的作者則決定在安裝時展示廣告，這些做法都引發了爭議。Standard 是一個 Javascript 風格指南庫，每月下載量大約 300 萬次，開發者 Feross Aboukhadijeh 表示這是一項實驗，旨在找到支持開源開發的可持續方法。他表示，在安裝 Standard 14 會展示贊助商的信息，贊助費用直接支付了維護時間，包括新功能、修正、回答用戶提問和改進文檔。
來源：solidot.org
提升安全性：微軟為 Chromium Edge 推出除蟲賞金項目外媒報道稱，微軟已經為基于 Chromium 內核開發的新版 Microsoft Edge 瀏覽器，推出了一個全新的除蟲賞金（bug bounty）項目。如果提交的安全漏洞報告的質量足夠高，該公司將給出高達 3 萬美金（21.4 萬+ RMB）的獎勵。
來源：cnBeta.COM
詳情鏈接： https://www.dbsec.cn/blog/article/4979.html
英國網絡安全機構督促開發者淘汰 Python 2NCSC 稱，如果你維護了一個其他人依賴的庫，你可能會阻止其他人更新到 Python 3。如果你無法將代碼升級到 Python 3，一個選擇是付費給商業公司繼續支持 Python 2。NCSC 以勒索軟件 WannaCry 舉例說明使用不再支持的軟件會發生什么。
來源：solidot.org
詳情鏈接： https://www.dbsec.cn/blog/article/4980.html
點餐買電影票都要個人信息 數據收集引發擔憂據《南華早報》報道，在深圳，很多時候沒有手機應用就消費不了，比如在餐館要掃碼點餐。但如果你不同意分享個人信息，你就無法點餐或買電影票。數據隱私問題正日益引起公眾的擔憂。一天晚上，王曉旭（Wang Xiaoxu，音譯）和朋友們在深圳的一家餐館吃飯，由于她拒絕通過手機分享個人信息，點餐系統不讓她點餐。最后，又餓又沮喪的她和朋友離開。
來源：網易科技
詳情鏈接： https://www.dbsec.cn/blog/article/4981.html
開發者移除 11 個 Ruby 庫中 18 個帶有后門的版本RubyGems 軟件包存儲庫的維護者近期移除了 11 個 Ruby 庫中出現的 18 個惡意版本，這些版本包含了后門機制，可以在使用 Ruby 時啟動加密貨幣挖掘程序。惡意代碼最初發現于 4 個版本的 rest-client 庫中，rest-client 是一個非常流行的 Ruby 庫。
來源：開源中國
詳情鏈接：https://www.dbsec.cn/blog/article/4982.html
（信息來源于網絡，安華金和搜集整理）
統會根據微軟商店購買及應用程序使用的記錄，來顯示你可能感興趣的廣告。
關閉方法
依次點擊【開始菜單】【設置】【隱私】【常規】，【關閉】“允許應用使用廣告ID”。
注意：系統版本不同操作路徑可能略有差異。以下同。
Cortana廣告
點擊搜索框打開Cortana，依次點擊【筆記本】【Cortana提示】，【關閉】“提示通知”。
鎖屏廣告
依次點擊【開始】【設置】【個性化】【鎖屏界面】，將“背景”切換到【圖片】或【幻燈片放映】。
【關閉】 “在鎖屏界面上從Windows和Cortana 獲取花絮、提示等”。
通知中心廣告
桌面右下角的通知中心在顯示系統和應用通知之余，有時候也會顯示廣告建議。
關閉方法
依次點擊【開始】【設置】【系統】【通知與操作】，【關閉】“在使用Windows時獲取提示、技巧和建議”，還可以對應用程序關閉【獲取來自這些發送者的通知】。
開始菜單廣告
在開始菜單中右擊系統自動推送的應用程序，選擇【卸載】。
依次點擊【開始】【設置】【個性化】【開始】，【關閉】偶爾在“開始”屏幕中顯示建議。后續開始菜單將不再出現推薦軟件。
動態磁貼廣告
開始菜單右側的動態磁貼，也會推送應用程序。
關閉方法
和開始菜單一樣，可以右擊系統自動推送的應用程序，選擇【卸載】或者選擇【更多】【關閉動態磁貼】。
Windows Ink
Windows Ink作為一款手寫工具，有時也會在程序界面推薦應用。
關閉方法
依次點擊【開始】【設置】【設備】【筆和Windows Ink】，取消勾選【顯示推薦使用的應用】。
瀏覽器彈窗
搜索打開IE，依次進入【工具】【Internet選項】【隱私】，勾選【啟用彈出窗口阻止程序】并點擊右側【設置】。
【添加】要允許的網站地址，并設置“通知和阻止級別”，完成后點擊【關閉】并回到“Internet屬性”窗口，點擊【應用】并【確定】。
網頁廣告
禁用Cookies
以Internet Explorer 11舉例，進入IE【工具】【Internet選項】【隱私】【高級】中設置。
若不想禁用，可以選擇清除Cookies
進入IE【工具】【Internet選項】【常規】【刪除】【確定】。
Edge網頁廣告
相比IE11，Edge支持下載第三方擴展插件來關閉網頁廣告。
依次點擊Edge瀏覽器右上角【…】【擴展】【了解更多的擴展】，跳轉進入【Microsoft Store】，在【廣告攔截器和密碼管理器】中選擇喜歡的廣告攔截器【免費下載】安裝。
網盟推廣
在需要停用的瀏覽器中打開以下網址【http://www.baidu.com/duty/safe_control.html】，并【選擇停用】。
—END—
*請認真填寫需求信息，我們會在24小時內與您取得聯系。
