顺藤摸瓜一个专黑建筑行业的QQ黏虫团伙现

2019年05月15日 来源:

前言

粘虫是已流行多年的盗号木马,它会伪装登陆界面,诱骗受害者在钓鱼窗口提交账号密码。近期,360QVM引擎团队发现一支专门攻击建筑行业人群的粘虫变种,它假装为招标文档,专门在一些建筑/房产行业聊天群里传播。

由于此木马样本带有其服务器数据库信息,木马生成器和一个小有范围的幕后团伙也因此而暴露出来。

传播途径

根据友举报和样本关联分析,此粘虫木马主要是活跃在建筑/房产行业的聊天群中,从样本信息也可以发现,木马攻击的目标就是建筑房产从业者。

部分样本文件名:

通过络搜索,部份文件名确实是曾或正在进行招投标的工程,对相关从业者具有一定迷惑性。

样本分析

样本双击执行后会弹窗告警,显示文件已破坏来迷惑受害者,实际上盗号木马已在后台默默履行。

连接Mysql

通过检测窗口类TxGuiFoundation是否存在,如果存在则弹出账号异常的钓鱼窗口。

钓鱼窗口

通过Mysql语句将盗取的账号、密码、IP、address、UserID插入数据库

尽管粘虫木马的拦截查杀难度并不高,但是由于部份友电脑裸奔或是没有使用专业安全软件,从木马程序内置的数据库账号密码访问其数据库可以看到,竟有不少民中招,截至7月17日下午,该数据库统计的盗号数量已接近3000个:

在木马服务器数据库里,还有木马生成器的更新信息,从而可以获取到的木马变种下载地址。

生成器

界面

压缩格式

生成器支持将木马程序压缩成:R00、ZIP、TBZ、RAR、TBZ2、TAR、JAR、001、ISO、IMG

团伙数据

此木马生成器会根据登录的用户名来管理各自生成的木马盗取的账号密码,支持删除和查看功能。从数据库中的数据来看,该木马团伙目前包括管理员在内,一共有14名成员。

对比

每一个生成出来的木马文件都带有UserID,前面提到木马程序通过Mysql语句将盗取的账号密码插入数据库,语句中api_user就对应着UserID。不同用户生成出来的木马程序的不同就是UserID,每一个用户通过自己的ID生成木马,并且各自管理盗取成功的账号密码。

拦截统计

根据360安全卫士云主防的统计,该粘虫木马对广东、云南、河南、湖南、安徽等地区的用户攻击数量相对较高,用户只要开启360安全卫士即可拦截预防:

盗号危害

从这款伪装成招标文档的粘虫木马来看,其大面积对建筑房产行业的群进行投递传播。从文件名上来看,木马团队对投标项目做了相干的准备工作。

1. 木马制作

2. 木马售卖

3. 木马伪装相关招标文档打包

4. 潜伏进建筑/房产相关群,上传木马到群文件/发送群邮件

5. 管理盗取到的账号密码

之后,木马团伙很可能会验证账号清洗账号盗取资料,进行撞库攻击建立行业社工库,乃至进一步进行定向攻击黑市贩卖。

说到撞库,这种攻击方式也非常普遍。不法分子把盗取或采集的账号密码和相关资料整理生成对应的字典表,利用它去批量登录其他站,从而得到一系列可以登录的用户账号。

在此提醒友,系统设置里不要勾选隐藏已知文件类型的扩展名,以免被文档图标的可执行程序蒙骗;如果在打开一些文件后出现了重新登录的提示,应警惕这很可能是木马作怪;在聊天群共享、盘等非可信来源下载络资源时,应保持安全软件处于开启状态,对陌生文件进行检测,确认安全后再打开。

月经量多吃什么食物好
月经后期血块发黑
月经量少吃什么中药好
相关文章
  • 电信诈骗案件频袭苏州破案率同比上升4390
    电信诈骗案件频袭苏州破案率同比上升4390

    中新苏州1月9日电 (周建琳 王思哲)苏州市公安局9日召开发布会向媒体通报2013年苏州公安工作,同比上升43.90%。2013年,电信诈骗案件频频“袭击”苏州。仅年底,苏州警方就连续接到多起电信诈骗报案,被骗案值均达上万元,甚至有两位市民损失超过上百万元。2013年...

  • 工人做面点时打死老鼠
    工人做面点时打死老鼠

    ▲面点车间食物货架上的老鼠屎法制晚报讯 好邻居、华润万家等社区超市因为购买方便、店面整洁而备受消费者欢迎,尤其是里面销售的早点、面食、盒饭、关东煮等食品备受青睐。但近日法制晚报接到消费者刘先生爆料,他在华润超市买的包子里吃出了头发,怀疑...

  • 上市银行争夺高富帅招行7526亿元居首
    上市银行争夺高富帅招行7526亿元居首

    上市银行争夺高富帅 招行7526亿元居首从私人银行客户数量来看,中国银行有7.4万名“粉丝”,成为客户数多的银行,其后依次为农行和工行。在财富金字塔的塔尖,上市银行的争夺更为激烈,目标则是高净值客户。从2014年年报的数据来看,招商银行已经在管理资...

  • 湖南桃江小型水库连续降雨后溃坝
    湖南桃江小型水库连续降雨后溃坝

    湖南桃江小型水库连续降雨后溃坝新华长沙5月26日电( 周楠) 受近日连续降雨影响,25日18时,湖南桃江县马迹塘镇新塘村八斗村水库突然溃坝,有农民家中进水,150亩稻田受损。据26日11时从桃江县防汛抗旱指挥部了解到的信息,由于转移及时,暂时没发现有人员伤亡...

  • 韩国正式将日元疲软定性为对外风险因素
    韩国正式将日元疲软定性为对外风险因素

    1月8日电 据韩联社报道,韩国企划财政部在8日发行的《近经济动向》(绿皮书)1月刊中评价称,经济回暖迹象逐步明显,但投资等民间领域的恢复势头依旧不稳定。美国财政和量化宽松风险、以及日元疲软等对外风险犹存。这是韩国企划财政部首次在绿皮书中把日元...

  • 贵阳市中职上报名16日开始3类学生须到学校才能报名
    贵阳市中职上报名16日开始3类学生须到学校才能报名

    3类学生须到学校才能报名今年贵阳市中职上报名时间为7月1618日,为期3天。具有贵阳市学籍并参加2013年贵阳市初中毕业考试升学考试的应、往届初中毕业生,均可参与中职上报名录取。在报考时,考生每次只可选报一所学校的一个专业。系统实时分别对考生按中考...