梦殇国际

标题: 最恐怖的中秋节礼物，“QQ粘虫”你敢点吗？！ [打印本页]

作者: 神 时间: 2014-9-7 14:44
标题: 最恐怖的中秋节礼物，“QQ粘虫”你敢点吗？！
网友@JJooru今天发了条微博：
刚刚在qq群里看到有人分享了中秋礼品优惠券，据说可以在京东、天猫好些网站上买月饼礼盒抵20元优惠。下载回来打开一看，结果被360发现是伪造QQ登录窗口盗号的木马！大家小心啊，病毒竟然可以随便传到qq群共享里
小编用网上找到的灰鸽子木马试了试，QQ群共享上传文件时确实有病毒检测的，但可惜的是，QQ的检测能力堪忧，难道只能检测出古董级的木马：

话说，腾讯电脑管家也自黑了一把，承认QQ群里混入了QQ粘虫木马：

360：呵呵

好吧，企鹅你又中枪了。
360还发出一篇QQ粘虫木马变种的技术分析，摘要如下：
附：QQ粘虫最新变种技术分析
木马作案流程
一、干扰QQ正常运行，比如不停最小化窗口，禁用QQ窗口等，造成QQ掉线的假象；
二、展示伪装QQ登录的钓鱼窗口，诱骗受害者输入QQ号和密码；
三、将受害者输入的QQ密码数据传给盗号者；
四、恢复QQ正常运行。
“QQ粘虫”最新变种的代码与逻辑分析：
进程启动，隐藏自身：

注册窗口，接收消息：

查找

通过内存暴搜Msg3.0.db，在其之前，就是QQ号码

木马常用的方法，还有找OP标志位：

找ADUIN等，方法均大同小异，通过内存特征，定位到QQ号码：

之后查找任务栏，拿到handle备用

查找前台窗口，寻找类名称是TXGiFondation的窗口，这也是盗号木马中，找QQ窗口的通用方法。

检测到QQ窗口存在后，等待8秒钟，创建钓鱼使用的窗口：

钓鱼窗口使用到的资源：

在另一个线程中，向QQ发送最小化消息，之后显示木马窗口。
木马作者之前使用的是WM_SHOWWINDOW和WM_HIDEWINDOW，最近改用MINIMIZE和EnableWindow的消息了。

EnableWindow消息

通过最小化QQ窗口，隐藏QQ窗口，禁用QQ窗口等方法影响QQ正常工作。
客户端展示的木马钓鱼窗口

在窗口的消息处理中，无论第一次输入什么密码，均会提示密码错误，要求再次输入密码，两次输入的密码均会发给后台：

木马发信方式：
木马发信中，写死了收信的IP地址，114.215.203.191 来自：北京市创联万网国际信息技术有限公司

发信使用的WinSock标准的TCP连接发信的：

完成操作之后，注入calc进行自删除

也有部分木马，使用COM接口，调用浏览器，打开本地文件的方式发信：

代码中可以看到，这是一个叫XH QQ大盗 Vip的木马：

看法：粘虫真的很恐怖的！

[groupid=114]NO.1大神聚集地[/groupid]

作者: 阿楠 时间: 2014-9-7 14:44
我竟然看完了好可怕

作者: 铁血女汉子 时间: 2014-9-7 14:46
卡卡的= =你这是啥

作者: 神 时间: 2014-9-7 14:48

我最美发表于 2014-9-7 14:44
我竟然看完了好可怕

的确很可怕！

作者: 神 时间: 2014-9-7 14:48

铁血女汉子发表于 2014-9-7 14:46
卡卡的= =你这是啥

这个嘛就是 QQ粘虫的分析报告！

作者: 铁血女汉子 时间: 2014-9-7 14:48

神 发表于 2014-9-7 14:48
这个嘛就是 QQ粘虫的分析报告！

可怕

作者: 美女罢了 时间: 2014-9-7 14:48
图一直在转圈圈。。是我的问题吗

作者: 神 时间: 2014-9-7 14:49

美女罢了发表于 2014-9-7 14:48
图一直在转圈圈。。是我的问题吗

我看的见呀！

作者: 神 时间: 2014-9-7 14:50

铁血女汉子发表于 2014-9-7 14:48
可怕

千万表下载那个不然就完蛋了！

作者: 铁血女汉子 时间: 2014-9-7 14:51

神 发表于 2014-9-7 14:50
千万表下载那个不然就完蛋了！

嗯哼我懂

作者: 神 时间: 2014-9-7 14:54

铁血女汉子发表于 2014-9-7 14:51
嗯哼我懂

嗯我最近要把在线时间变成100小时然后去申请巡查大队嘻嘻！

作者: 铁血女汉子 时间: 2014-9-7 14:57

神 发表于 2014-9-7 14:54
嗯我最近要把在线时间变成100小时然后去申请巡查大队嘻嘻！

加油，

作者: smoke 时间: 2014-9-7 14:58
图加载不出来

作者: 神 时间: 2014-9-7 14:59

铁血女汉子发表于 2014-9-7 14:57
加油，

嗯嘻嘻！

作者: 神 时间: 2014-9-7 15:00

smoke 发表于 2014-9-7 14:58
图加载不出来

为嘛我可以看见呢！

作者: 铁血女汉子 时间: 2014-9-7 15:03

神 发表于 2014-9-7 14:59
嗯嘻嘻！

嗯哼，

作者: 木犀 时间: 2014-9-7 15:05

美女罢了发表于 2014-9-7 14:48
图一直在转圈圈。。是我的问题吗

我也是

作者: 木犀 时间: 2014-9-7 15:06
还好我不玩扣

作者: smoke 时间: 2014-9-7 16:21

神 发表于 2014-9-7 15:00
为嘛我可以看见呢！

不科学

作者: Clelo。 时间: 2014-9-7 16:30
可怕

受教了

作者: 王某某123 时间: 2014-9-7 23:50
这么利害

作者: 艾斯德斯 时间: 2014-9-7 23:52
简直是恐怖

欢迎光临梦殇国际 (https://714.hk/)

Powered by Discuz! X3.4