银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

admin 2024年10月25日14:37:21评论14 views字数 1289阅读4分17秒阅读模式

安全分析与研究

专注于全球恶意软件的分析与研究

前言概述

原文首发出处:

https://xz.aliyun.com/t/15941

先知社区 作者:熊猫正正

TG群、暗网是黑灰产的聚集地,也是钓鱼攻击的重灾区,搞钱也是大多数黑产组织最直接的攻击目的,有利益的地方就有黑灰产,最近一些年随着WEB3以及数字货币的流行与发展,产生了很多新型的产业链,同时也催生出了很多新型的黑客攻击活动,例如挖矿、勒索、盗币等。

近日,在某个欧易OKX官方中文数字货币交流群(群成员有快20万人)里捕获到一个银狐黑产组织的最新攻击样本,对该攻击样本加载母体进行了详细分析,分享出来供大家参考学习。

样本分析

1.初始样本是一个MSI安装程序,相关信息,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

2.解析MSI安装程序,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

3.CustomAction安装脚本,调用DriveAstuteSupporterCSE安装脚本,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

4.DriveAstuteSupporterCSE安装脚本,内容如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

5.初始化相关的文件名、调用参数以及解压密码等,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

6.设置指定的排除文件目录扫描,对抗系统Windows Defender安全软件,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

7.在指定的文件目录下生成相关的恶意文件并通过指定的参数调用,然后删除多余的文件,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

8.生成的恶意文件,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

9.相关进程信息,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

10.判断主机是否联网以及解析调用参数,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

11.在内存分配相关的空间,然后将解密出来的shellcode代码拷贝到该内存,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

12.跳转执行ShellCode代码,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

13.ShellCode分配相关的内存空间,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

14.解密ShellCode后面的PayLoad数据,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

15.解密之后,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

16.解密出来的PayLoad编译时间为2024年10月15日,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

17.银狐木马变种标识性导出函数fuckyou,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

18.初始化样本的相关信息,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

19.远程服务器IP为38.47.232.92,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

20.通过威胁情报平台查询相关域名信息,已经标记为银狐木马,如下所示:

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

解密出来的PayLoad与此前发现的银狐变种,基本一致就不重复分析了,同时通过威胁情报可以关联出多个同批次的样本和情报,基本手法与上面一致。

威胁情报

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

总结结尾

去年使用“银狐”黑客远控工具的几个黑产团伙非常活跃,今年这些黑产团伙仍然非常活跃,而且仍然在不断的更新自己的攻击样本,采用各种免杀方式,逃避安全厂商的检测,免杀对抗手法一直在升级。

安全分析与研究,专注于全球恶意软件的分析与研究,追踪全球黑客组织攻击活动,欢迎大家持续关注,获取全球最新的黑客组织攻击事件威胁情报。

银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

王正

笔名:熊猫正正

恶意软件研究员

长期专注于全球恶意软件的分析与研究,深度追踪全球黑客组织的攻击活动,擅长各种恶意软件逆向分析技术,具有丰富的样本分析实战经验,对勒索病毒、挖矿病毒、窃密、远控木马、银行木马、僵尸网络、高端APT样本都有深入的分析与研究

原文始发于微信公众号(安全分析与研究):银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月25日14:37:21
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   银狐黑产组织针对OKX数字货币交流群钓鱼攻击样本分析https://cn-sec.com/archives/3313432.html

发表评论

匿名网友 填写信息