QQ盗号木马的分析

0×0 简述

最近安天追影工作组运用威协认知体系捕捉到一块儿病毒传送时件，黑客组织根据 QQ 盗号木马，窃取受害人账户及PIN码。本次时件被害设备总数颇多，殃及范畴已达 25 个省份左右，而且状况仍在不断恶变中。

剖析工作组抓紧跟踪此时件后发觉，除 QQ.exe 之外，地下城勇士、寻仙、魔兽、QQ 中华、QQ 游戏中心、8188 游戏大厅等 55 个流行游戏客户端也被该病毒挟持。遭劫持的成员变量多见腾迅主打产品的手游，这种手游的PIN码和 QQ 的账户密码是实用的。关键根据页面挂马、游戏外挂等方法开展散播，长久大范畴散播盗号木马，产生这条详细的手游盗号产业发展。QQ帐号被窃取后QQ空间出現办信用卡的软广贴。该病毒跳出的精仿页面与真實QQ 对话框对比可含棱形卡通片作用，2维码也打不开，请客户在登陆时慎重使用，防止盗号时件产生。

0×1 样版剖析

威协认知体系在http://*.*.*.54:188/my/qqq.ico部位传送病毒，qqq.ico其实是1个EXE格式文件，运作这一样版，人们发觉这一故意样版挟持了QQ程序。qqq.ico是1个下载者，下載qq1.css，qq1.css都是1个EXE系统，运作以后会查验程序里是不是带有QQ.exe，假如发觉了就马上停止QQ程序，将原来的QQ对话框修改变成自身设置的对话框，那样上传的账户密码会草率地发送至黑客手里。上传结束以后，回到原先没问题的QQ对话框，开展没问题的登陆形为。如图所示，是qqq.ico故意窃取QQ客户的账户密码的方法。

图1 真伪QQ对话框

左面真實QQ 对话框有棱形卡通片，而且2维码能够点用以开电脑登陆，右面是掩藏的对话框无棱形卡通片，2维码打不开。当客户加上真實的QQ号和PIN码会开展认证，盗号系统会根据HTTP发送QQ登录名PIN码，传送数据给出：

GET /qq1/lin.asp?Action=AddUser

图2 上传盗号统计资料

0×2 网络结构剖析

放马站名不断快速增长超出1年，并有有关构架最少在3个挂马机构中应用，除 QQ.exe 之外，地下城勇士、寻仙、魔兽、QQ 中华、QQ 游戏中心、8188 游戏大厅等 55 个流行手游，每一手游的构造都不一样,abc.txt是放马的下載目录，全是以ico末尾的，具体是EXE文档。

0×5 小结

尽管人们观查到的盗号的1个作用是老同学软广，在盗号灰产的流程中有十分多的运用，QQ行骗也是列举之首。另有关运用脱机挂藏侧门定项钓取QQ手游客户的盗号架构烦请下回分解。