黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

  • A+
所属分类:安全新闻


赶紧点击上方话题进行订阅吧!

报告编号:B6-2021-042301

报告来源:360CERT

报告作者:360CERT

更新日期:2021-04-23

近日,某聊天软件被曝存在高危漏洞,攻击者可以通过该聊天软件发送一个特制的web链接,用户一旦点击链接,聊天软件便会加载执行攻击者构造恶意代码,最终使攻击者控制用户PC。出现该问题后,该聊天软件也马上做了更新,通过新版本解决了该问题。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

就在漏洞曝出第二天,360安全大脑监就测到有疑似使用该聊天软件漏洞,下发执行剪切板劫持木马的攻击。从文件时间戳(2021-04-18 22:18:55)看,该木马在漏洞曝出后进行编译。执行时持续监控剪贴板数据,替换其中的比特币钱包地址,企图通过这种方式让受害者在不知觉的情况下向木马替换后的钱包地址进行转账。


1
 攻击过程



攻击者会挑选特定目标用户发起攻击,像这些用户群发钓鱼链接,当有用户不慎在PC端打开时,攻击即被触发。

攻击者利用该漏洞,通过聊天软件进程下发并执行剪贴板木马。攻击发起时的进程树如下图:

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币


2
 剪贴板木马分析



该木马执行后即开始工作,每隔300毫秒检查一次剪贴板中数据,如果发现内容长度大于25则进行比特币钱包地址的搜索和替换。

搜索比特币地址方式是字符串首字母为’1’、’3’、’b’、’0’的位置。这次所发现的木马对其中3种格式的地址进行替换,包括’1’开头的传统地址、’3’开头的P2SH地址、’0x’开头的以太坊地址。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

如果发现粘贴板内容能够匹配上之后,即对内容中的地址字符串进行替换,木马内置了大量钱包地址,从中随机选择。含有传统地址和P2SH地址各25个,以太坊地址15个。(我们在分析中发现,由于木马随机算法问题,三个地址列表中的后2个地址无法被使用到)。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

木马内置钱包地址如下

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

从4月18号初次出现至今,已有大量用户受到该木马影响:

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币


3
 360安全大脑查杀拦截



360安全大脑建议用户,尽快将聊天软件升级至最新版,解决该漏洞问题。

使用360安全产品的用户也无需担心,360安全卫士已增加对该漏洞攻击的防护,并且早在2018年就已推出区块链防火墙,抵御此类剪贴板木马攻击。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

当用户在进行加密货币交易时,开启“区块链防火墙”功能后,如果剪贴板中“银行卡号”被篡改,360安全产品就会弹出警示窗口。360安全大脑建议币圈人士,都安装并开启该功能。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币


4
 IOCs



MD5

16529046ab84cf9addb74cfd76dbab89


5
 产品侧解决方案



360AISA全流量威胁分析系统

针对微软本次安全更新,360AISA已基于流量侧提供对应检测能力更新,请AISA用户联系[email protected]获取更新,尽快升级检测引擎和规则,做好安全防护工作。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360企业安全浏览器

360企业安全浏览器相比传统浏览器,360企业安全浏览器兼集中管控、企业数据防护、安全大脑赋能、跨平台适配、商用密码算法支持、应用兼容等六大特点。请用户前往360企业安全浏览器获取对应产品。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段,对该类漏洞的利用进行实时检测和阻断,请用户联系相关产品区域负责人或(shaoyulong#360.cn)获取对应产品。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀,其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台,实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测,请及时更新网络神经元(探针)规则和本地安全大脑关联分析规则,做好防护。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下,以大数据、云计算等新技术为支撑,以可靠服务为保障,集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复,建议用户及时更新漏洞库并安装更新相关补丁。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币


6
 时间线



2021-04-18 360安全大脑发现威胁

2021-04-23 360CERT发布通告


7
 特制报告下载链接



一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】黑客利用聊天软件漏洞植入剪贴板木马窃取比特币.pdf

若有订阅意向与定制需求请扫描下方二维码进行信息填写,或发送邮件至g-cert-report#360.cn ,并附上您的 公司名、姓名、手机号、地区、邮箱地址。

黑客利用聊天软件漏洞植入剪贴板木马窃取比特币




往期推荐
01

Homebrew cask 恶意软件包投毒威胁通告

02

WebSphere Application Server XML外部实体注入漏洞通告

03

2021-04 补丁日: Oracle多个产品漏洞安全风险通告


黑客利用聊天软件漏洞植入剪贴板木马窃取比特币
360CERT

https://cert.360.cn/

进入官网查看更多资讯

长按扫码关注我们
黑客利用聊天软件漏洞植入剪贴板木马窃取比特币


黑客利用聊天软件漏洞植入剪贴板木马窃取比特币
点击在看,进行分享
黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

本文始发于微信公众号(三六零CERT):黑客利用聊天软件漏洞植入剪贴板木马窃取比特币

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: