概述

“Ghost”盗版系统和系统激活工具一直都是国内病毒传播的重要渠道之一，尤其以Rootkit/Bootkit类型的顽固病毒居多，此类病毒安装普遍早于安全软件，大多会通过内核层来隐藏保护自身模块，并凭借植入时机的先手优势和安全杀软进行深层对抗。近期通过“捕风”威胁感知系统监控，我们发现“贪狼”Rootkit僵尸家族在近2个月开始再次活跃，“贪狼”病毒一直都是盗版系统预装渠道中的活跃家族，早期变种可以追溯到2015年，起初主要用于主页劫持和流量暗刷，从我们的监控记录看，“贪狼”基本上每年都会有一次较大的活跃更新，在17年初曾被安全友商命名为“狼人杀”并分析曝光，短暂潜伏以后在17年9月份又出现过小幅更新，今年6月份开始“贪狼”家族开始再度活跃，除了Http(s)劫持模块不断加强外，开始顺应黑产潮流加入“门罗币”挖矿功能模块，并且在6月4号开始通过更新渠道下发“Hydra”DDOS木马插件，“贪狼”僵尸网络的威胁度和攻击性正在不断加强。

正文

“贪狼”Rootkit病毒主要通过ghost系统等渠道感染用户计算机，通过多种方式隐藏自身、对抗杀软，同时模块众多，功能灵活复杂。不同模块分别实现浏览器劫持、ddos攻击、加密货币挖矿、刷量等功能。根据检测到的感染量估算全国超过50万机器遭到感染。

各模块通过联网下载到本地执行，被RC4或AES加密；且都有统一的导出名称BsProcessStartup、BsDllStartup、BsCleanup、BsEnvironment；

模块被注入到目标进程后直接调用BsProcessStartup或BsDllStartup；BsProcessStartup和BsDllStartup首先确定加载基址，并获取peb、teb相关信息初始化导出结构体BsEnvironment，然后进行重定位修复、导入表初始化、CRT初始化、添加异常处理表等前置工作，最后进入主功能函数。

模块自加载，自初始化流程：

由于模块众多，下面简单分析其中几个模块的主要行为。

核心驱动模块

1、驱动加了VMP壳保护，加载后注册进程回调、映像回调、注册表回调、关机回调，并创建3个内核线程；

2、通过进程回调APC注入内置Platform.dll到lsass.exe，Platform.dll执行真正的病毒行为；

3、映像回调拦截浏览器进程的杀软模块加载；

4、注册表回调保护自身驱动服务项；

5、关机回调回写自身驱动文件和注册表服务项；

R3层核心框架Platform.dll

该模块是驱动内置的模块，核心功能是加载挖矿模块和下载配置文件并更新其他模块；

1、加载内置的ConsoleApplication8.dll（挖矿模块）；

2、挂钩NtQuerySystemInformation（针对taskmgr.exe，进程名过滤）；

3、挂钩LdrLoadDll（针对360se.exe、360chrome.exe），过滤杀软的浏览器保护模块；

4、访问Ctext-align:center">

浏览器劫持模块AppManage.dll

pdb路径：E:\Code\Ivipm\source\AppManger\AppManger\x64\Release\AppManage.pdb

通过APC方式被注入到进程，如果进程是360se.exe、360chrome.exe，则查找并删除文件sesafe.dll；

如果进程是以下杀软进程，则查找并删除文件QMProtect.dll、QMProtect64.dll、QMIESafeDll.dll、QMIESafeDll64.dll；如果进程名包含qqpc则直接退出进程。

如果进程是explorer.exe，则挂钩CreateProcessInternalW、RtlCreateProcessParameters、ZwCreateUserProcess、RtlCreateProcessParametersEx，对以下浏览器进程的命令行参数进行劫持；

同时还会向系统添加根证书，用于https劫持：

DDOS攻击插件HydraClient.dll

pdb路径：C:\Users\Lon\source\repos\DDos\x64\Release\HydraClient.pdb

该模块通过APC方式被注入到进程wuauclt.exe，是DDOS攻击模块；CC地址为115.231.219.32；支持常见的DDOS攻击方式。

附录IOC:

MD5：

2ECEE431A394538DD8B451B147D684AD

IP：

115.231.219.32

URL：

hxxps://down.135h.com/save/chilli/DwYQ0YY0x6.jpg

hxxps://down.135h.com/save/chilli/CUYQ0YY0x6.jpg

hxxp://ix.135gg.com/api/_mcv_chillis.html

hxxp://client.135gg.com/api/_msv_software.html

hxxp://client.115ww.com/api/_mv_bamboo.html

hxxp://client.335dh.com/api/_mv_bamboo.html

hxxp://client.115ll.com/api/_mv_bamboo.html

DOMAIN：

ix2.135gg.com

ix.135gg.com

ixs.115rr.com

lps.115rr.com

ixs.135h.com

50star.com

tj.16610.com

pp.fatdit.com

www.faafox.com

ix.faafox.com

client.faafox.com

aoyouw.cftmon.com

osipad.fatdit.com

bs.xobvb.com

bs.unaout.com

gang[1|2|3|5|6].info

转载请注明来自网盾网络安全培训，本文标题：《“贪狼”Rootkit僵尸家族再度活跃：挖矿+DDOS+劫持+暗刷》

标签：安全报告