警惕！黑帽SEO投毒，搜索引擎成为帮凶

      该团伙通过购买谷歌搜索引擎的广告服务使其搜索排名靠前，当用户搜索关键词“telegram”时，会置顶显示该团伙投放的广告。

       点击后进入该团伙注册的youtube账号主页。

      主页中发布的链接为投递恶意软件的钓鱼网站。

      本次共发现3个与该团伙相关的YouTube账号，账号的注册时间从2021年12月份至2022年6月份不等，说明该团伙的攻击已经持续了一段时间。每个账号投递的恶意软件有着不同的加载最终载荷方式，其中一种与该团伙之前通过支付平台投递样本的手法存在重叠，YouTube账号主页与钓鱼网站如下：

      受害者运行该类型安装包后会在目录下生成“Telegram中文版”文件夹，文件中包含真正的Telegram安装包和“tdata”文件夹，“tdata”文件夹中包含“Lenovo.exe”、“dgbase.dll”和“Server.log”三个文件。“Lenovo.exe”在用户运行安装包的同时开始运行，运行时加载“dgbase.dll”，而“dgbase.dll”将会加载最终载荷“Server.log”。

     受害者运行该类型安装包后，将弹出正常Telegram安装程序，同时后台启动“xxx.exe”进程，“xxx.exe”执行后通过回连C2服务器下载一个压缩包*.zip（*表示任意字母或数字）和一个解压软件8z.exe，通过创建的lnk文件运行8z.exe解压*.zip，压缩包中共包含4个文件，最终会将svchost.txt中包含的最终载荷加载至内存并执行。攻击手法与《警惕！针对聚合支付商户的定向网络盗刷》提到的方式基本一致。

     受害者运行该类型安装包后，将弹出正常Telegram安装程序，同时向目录“C:Program Files (x86)Common FilesMicrosre”文件夹释放“dr.dll”、“helper.exe”、“Micr.flv”、“Micr2.flv”和“Micr3.flv”五个文件。“helper.exe”通过LoadLibrary函数加载“dr.dll”，“dr.dll”将“Micr.flv”、“Micr2.flv”和“Micr3.flv”三个文件数据解密和拼接，并将数据以shellcode形式注入内存，shellcode运行后创建cmd.exe进程并将内存中一个dll文件（最终载荷）注入到cmd.exe进程中。经分析最终载荷为魔改后的Gh0st远控木马。

       最终载荷的主功能模块如下图所示：

      功能总结如下：

      攻击手法与《警惕！针对聚合支付商户的定向网络盗刷》提到的方式基本一致。最终载荷的主功能模块如下图所示：

        功能总结如下：

      最终载荷的主功能模块如下图所示：

       功能总结如下：

      除了上文提到的攻击方式存在重叠外，在本次攻击的样本中，其中使用第三种攻击方式的样本的回连IP“103.145.86[.]194”与之前该团伙盗刷活动中版本二的最终载荷（详情参考《警惕！针对聚合支付商户的定向网络盗刷》）回连IP存在重叠：

    因此猎影实验室以高置信度将本次攻击归因于GRP-LY-1001团伙。

      通过关联分析我们发现该团伙的IP：154.23.184[.]26还关联其他Telegram钓鱼网站域名：

      从钓鱼网站中下载的安装包使用的攻击手法与上文攻击手法一相同，并且回连C2也相同，钓鱼网站详细信息如下：

     目前没有关联到引用这些钓鱼网站的YouTube主页，但是这些钓鱼网站仍在活跃，并且下载的恶意软件的C2仍可回连，这说明该团伙可能还通过其他方式宣传伪造的Telegram钓鱼网站。

      从几天前我们曾披露该团伙时关联到的大量的IP，再到本次通过购买谷歌广告服务投递捆绑远控木马的Telegram安装包，再一次印证了该团伙拥有着深厚的经济实力，并且团伙的业务范围可能更为广泛。此外，我们还关联出一些没有通过YouTube主页中进入的钓鱼网站，该团伙可能还存在其他方式宣传这些网站。

      个人应提高安全意识，在安装软件时应尽量从官方渠道下载安装包，在使用搜索引擎时应擦亮双眼，明确哪些是广告，哪些是真正的官方网站。