溯源+社工窥探地下YY直播洗号产业链

admin 2022年4月3日11:38:38评论76 views字数 2824阅读9分24秒阅读模式

本文将揭露地下黑产中最常见的扫号产业链,包括从账号收集、代理抓取、扫号、洗号、变现的完整过程。

本次主要讲述针对YY直播的扫号产业链

仅用于技术讨论,请勿用于违法途径,任何非经授权的渗透都是违法行为


0x00 偶然发现的扫号黑客


近日在蜜罐中发现了一个特别的腾讯云的ip,这个ip通过我们蜜罐的匿名代理端口对几个特定的ip频繁发包,但是数据包内容看着并无异常,就是些常规tcp链接。

在这这个ip的80端口部着一个hfs,奇怪的是它这个hfs中存的不是木马远控样本,也不是挖矿样本,而是一堆ip和端口组合

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链

这些勾起了我们的好奇心。

正好他的hfs是有漏洞的版本,于是就有了下面漫长的文章


1、控制黑客机器  


 利用hfs的代码执行直接打下黑客的vps,直接去到管理员的桌面,第一眼看着机器似乎一切正常

溯源+社工窥探地下YY直播洗号产业链


打开前面名字为“保存数据xxx”的文件夹,呈现在面前是大量的已经分好类型的账号和密码文件。


溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链


根据分类名,猜测这些应该都是YY直播的账号密码。 

于是为了验证这些账户的真实性,我们尝试登陆了几个账号。成功率几乎百分之百。

如下图:

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链


这些分类文件里面的账号,都是能登陆的,而且有些账号里面的还剩余有Y币或者钻等。


粗略的计算了下,就在这一个文件夹中的账密就有15000多条。


然后在机器上发现了好几款YY直播的扫号器。


溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链


用mimikatz抓取了管理员密码,切换到他的桌面,扫号的程序正在疯狂工作

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链


尝试运行其中的一款扫号工具,导入他vps已经扫出来的账号,发现全部等能登录, 这个扫号工具效率还是极其高的。

溯源+社工窥探地下YY直播洗号产业链


有意思的是,从数据包来看,这些扫号软件并不是直接通过web的接口来进行扫号的,从他们的文件命名来看他们的扫号都是通过YY直播客户端的通信协议来完成的

猜测这样做的目的是增加扫号的速度,

因为初步来看给予YY直播协议的登陆是直接通过tcp协议完成的。

不用再走一层http。

溯源+社工窥探地下YY直播洗号产业链

 

在同目录发现了config配置文件,这个文件配置的就是前面黑客的hfs地址,

这就解开了之前的疑问,其实他hfs里面的ip列表都是他收集的一些免费的匿名代理ip,用来批量导入扫号软件中软件开始扫号。


 2、意外收获


在这位黑客的vps上面发现了“百度云盘的软件”,打开他的百度云软件,他居然记住了密码,我们也就顺着这条路深挖了一下。

溯源+社工窥探地下YY直播洗号产业链


他的百度运账号里面存放着大量的外挂、账号数据、以及一些扫号的源码。


在一个文件夹为400万的文件夹中发现了存放着380多万的YY账号和密码的文件


溯源+社工窥探地下YY直播洗号产业链


初步怀疑这些账号密码是之前YY泄露过的一部分

这些账密都是十分整齐的排列,随机挑选其中的账号也是有能够登陆的,这些应该就是扫号的的基础数据来源了。


后来也证实了这的确是是之前yy泄漏的老数据(这部分后面会写)


到此已经找到这个黑客的扫号的数据源、扫号工具、扫号方式。


但是,我们依然对他这380万的账号来源和他后续这些账号怎么变现非常感兴趣,于是就有了后续一系列的操纵。 


0x01 溯源+社工

1、轻松的溯源            

为了了解他们整个产业链我决定加他的qq。


加他之前对他进行了深入了解,前面说这个黑客确实大意了,在他的vps百度云是记住密码的,于是乎我们的溯源就容易多了。

溯源+社工窥探地下YY直播洗号产业链


看到炫酷的OPPO r7s 这个明显是他的手机传上来的,

溯源+社工窥探地下YY直播洗号产业链


这就是小黑客的样子,还是个萌萌哒的小鲜肉,他是在山东潍坊某学校上学

溯源+社工窥探地下YY直播洗号产业链

最后在他的自己的定位图发现了他读的学校,潍坊某某学院

溯源+社工窥探地下YY直播洗号产业链

这个黑客可真大意,继续翻他的相册

溯源+社工窥探地下YY直播洗号产业链

 发现了他的两个qq号,分别是281********、3338*******

然后通过他的从百度云账号,我们能够辅助的判断他最常用的qq大号,就是这个2开头的qq号

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链


这位黑客自己还成立一个叫“凉心科技的”公司(然而经过查询并没有注册在案),还在做免流的生意


溯源+社工窥探地下YY直播洗号产业链


顺带在他的qq空间暴露了他的年龄,还是个多愁善感的小伙。

在他使用校园上网软件中么也发现了他的姓名,

溯源+社工窥探地下YY直播洗号产业链


通过和他的vps的3389密码对比,发现他vps的密码的开头就是姓名的缩写


侧面也印证这个叫张某涛的人就是那个扫号黑客


溯源+社工窥探地下YY直播洗号产业链

 

汇总后,信息总结如下

姓名:张*涛

年龄:18

常用QQ:281*******、333*******

学校:潍坊****学院

主要产业:扫号、免流、游戏外挂 


2、强行社工


掌握了这些信息后,我觉得足以吓唬到他了,于是以合作的名义加他。


我直接表明了我就是之前黑掉他服务器的人,想找他合作搞YY直播账号。


溯源+社工窥探地下YY直播洗号产业链

开始他还很有防备半信半疑,我然后抖了关于他的很多的个人信息。

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链

他立马态度大变,还要拜师学习黑客技术,于是就在他面前强行吹了波逼,加强了他对我的信任。(他始终都没反应过来他的人信息我是从他百度云扒下来的:) )

0x02 基础数据的来源


得到他的信任之后,我就和他交流了一些问题


首先,就是他那380万的账号的来源,果然就是之前泄露过的那一批之中的


溯源+社工窥探地下YY直播洗号产业链


0x03 洗号变现


从他这里也了解到YY直播怎么洗号变现的,他其实不是整个链条的最后一环节,他只是其中一环,他只把扫出来的账号,卖给下家,自己就不管了。


行情大概是100元1万个普通的yy账号

溯源+社工窥探地下YY直播洗号产业链

有YY币的账号另算。


大概是按10:4卖给下家,下家就直接给主播刷礼物


然后主播从YY的官方把礼物按比列体现成钱,到此yy币就变百花花银子了。


溯源+社工窥探地下YY直播洗号产业链

而那些没有钱的YY账号,这些人就会用批量挂号软件,批量进入主播濒道,为主播增加观看人数从而达到刷人气的目的。


(有些主播可能是洗号的人自己开的,也可能是和一些主播合作然后分成)


通过这位黑客介绍,找到了洗号的下家,有序是熟人介绍,这个人对我很是信任,从他那里也证实了这位黑客之前说的,我说我有大量的YY账号找他合作。

溯源+社工窥探地下YY直播洗号产业链

他直接仍给我一个批量刷礼物的软件,说是测试版本,证明他的实力。

溯源+社工窥探地下YY直播洗号产业链

溯源+社工窥探地下YY直播洗号产业链

从这个软件数据包来看,当要查询币数量和批量送礼物的时候就需要走http协议了。

至此整个产业链,也就完整的呈现出来了

溯源+社工窥探地下YY直播洗号产业链


0X04 彩蛋:螳螂捕蝉黄雀在后


有趣的是,当我们在追踪前面个黑客的时候,他还被别的人盯上了。

在他的vps的回收站目录下发现了下面的东西

溯源+社工窥探地下YY直播洗号产业链

很明显的是个脚本是从远程服务器下载一个bj.exe可执行程序,执行。

这个bj.exe证实的确是个远控。


0x05 总结


1、人在做天在看,干坏事总会留下痕迹的,当然这肯定只是扫号产业中很小的一部分。

2、扫号这种产业一直都是伴随着整个互联网的,针对这些扫号的黑客,甲方的风控压力确实不小,要和这些黑产对抗,甲方的要走的路还很长

3、顺带说一句现在各大的云计算平台真的是成了各种黑客的保护地,上面什么样的黑产都有,也许要打击这些黑产,这些云平台也许应该负点责任了

者:云影实验室 

来源:https://www.freebuf.com/vuls/168884.html

声明:本公众号所分享内容仅用于网安爱好者之间的技术讨论,禁止用于违法途径,所有渗透都需获取授权!否则需自行承担,本公众号及原作者不承担相应的后

学习更多渗透技能!供靶场练习技能


溯源+社工窥探地下YY直播洗号产业链

扫码领黑客视频资料及工具

溯源+社工窥探地下YY直播洗号产业链

原文始发于微信公众号(渗透师老A):溯源+社工窥探地下YY直播洗号产业链

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月3日11:38:38
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   溯源+社工窥探地下YY直播洗号产业链http://cn-sec.com/archives/866184.html

发表评论

匿名网友 填写信息