一、概述
日前,火絨安全團隊發出警報,火絨工程師截獲下載器病毒Apametheus。該病毒入侵電腦後會下載多個病毒模塊,病毒模塊運行後,將盜取steam賬號,同時劫持用戶QQ臨時登錄權限,強行添加QQ好友、轉發空間,散播違法信息。
通過技術溯源發現,該病毒帶有"北京方正阿帕比技術有限公司"(北大方正子公司)的數字簽名:"Beijing Founder Apabi Technology Limited" ,以躲避安全軟件的攔截查殺,疑似為簽名洩露被黑客團伙利用,建議該公司儘快排查。
二、樣本分析
近期,火絨截獲到病毒文件帶有"Beijing Founder Apabi Technology Limited"簽名(北京方正阿帕比技術有限公司),系北大方正集團有限公司子公司,病毒數字簽名可以驗證通過。如下圖所示:
病毒運行後通過訪問C&C服務器下載下載器病毒(Linking.exe和calc.exe)至本地執行,運行後會啟動svchost.exe進程進行注入,被注入svchost.exe進程分別會執行不同的惡意代碼邏輯。
惡意代碼邏輯分別包括:盜取steam賬號、利用本地會話劫持強行添加QQ好友和轉發QQ空間日誌。病毒執行惡意行為後進程樹狀態,如下圖所示:
盜取steam賬號
病毒會不斷搜索steam登錄窗口,當搜索到steam登錄窗口後,釋放cuic.dll並將該動態庫注入到steam.exe進程中。相關代碼邏輯,如下圖所示:
被注入的惡意代碼(cuic.dll),首先會循環檢測SteamUI.dll是否已經成功加載。如果成功加載,則會通過獲取控件數據的方法獲取用戶登錄信息。如下圖所示:
比較控件名稱相關代碼,如下圖所示:
惡意代碼相關數據,如下圖所示:
強行QQ好友推廣
該部分病毒代碼執行後,會通過本地的QQ快捷登錄信息獲取臨時登錄憑證進行會話劫持,之後強行使用用戶QQ執行添加指定QQ好友、強行轉發QQ空間日誌。相關代碼,如下圖所示:
強行轉發QQ空間日誌相關代碼,如下圖所示:
三、附錄
樣本SHA256:
閱讀更多 江蘇IT小達人 的文章