freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

伪装者活动:针对Telegram特定用户的攻击
2021-01-08 11:17:51

近期毒霸安全团队通过“捕风”威胁感知系统捕获一类新的Gh0st远控木马变种,该木马变种通过虚假的Telegram的安装程序从而给用户电脑植入后门。此类远控木马是Gh0st远控木马修改而成,具有较强的隐蔽性,在用户电脑上驻留后会监视屏幕、执行cmd命令和调用插件。调用插件通过C2服务器返回数据进行反射式dll注入加载,不仅实现了插件的多样化,而且更容易绕过杀软的行为检测,对用户危害很大。

除了Telegram的Windows安装程序被植入远控木马外,其网站上所提供的安卓客户端也同样存在被修改的情况,额外的添加了广告模块和上传用户隐私信息模块。广告模块在聊天信息栏的顶部推送轮播广告,严重影响用户观感。App广告模块中会员商城的”卡密套餐”功能模块还提示”电脑端即将上线,敬请期待",推测目前通过钓鱼网站散布的电脑版本尚处于测试阶段。

1.虚假Telegram安装程序

文件信息:

捕获到的两个不同版本的安装程序都是使用NSIS进行打包,使用7-zip(7-zip在9.33的版本加入了自动反编译NSIS脚本的功能,但又在15.06把这个功能拿掉了,所以要注意7-zip版本必须介于这两者之间)解压缩得到安装脚本[NSIS].nsi。

ns.reg中的内容包含base64加密后的payload和base64加密后的C2

在2.1.10版本的安装程序中缺少了远控相关文件,在脚本中发现,文件是通过网络从www.telegramsvip.com下载到本地。两个脚本中共同的行为使用ComputerName替换ns.reg中的123456,并使用regedit.exe进行导入,同时将AddInProcess.exe程序注册服务自启并执行,实现其持久化。

为提高隐蔽性,释放的加载器伪装成微软Microsoft®.NET Framework中的AddInProcess.exe程序。AddInProcess.exe程序将写入注册表中的payload进行解密并加载运行。

payload解密后得到一个名为“反射”的.net程序。反射.exe的Main函数主要功能是对字符串"MTU0LjIyMi4xMDMuNTg6Nzg3OA=="解密,解密后是一C2IP地址:154.222.103.58:7878,之后调用StartWorkThread函数,传入解密后的C2IP 。StartWorkThread参数对参数进行判断是否为空,为空时,使用备用C2IP,解密字符串"MTg1LjIyNC.4xNjguMTMwOjM1NjM="得到备用C2IP地址:"185.224.168.130:3563"。

Program.MainThread函数解析出一个PE文件,并把C2写入PE中并调用导出函数"Launch"。

Program.MainThread解析出的PE文件在ida中的PDB信息为:"D:\source\MyJob\企业远程控制\Release\ServerDll.pdb"。该PE文件是远控Gh0st的变种。 该远控木马在接收和发送TCP数据前会进行简单的位运算进行加解密。

发送数据加密方式:

接收数据解密方式:

该远控木马执行时,客户端会向C2服务器发送以下信息:IP、主机名、操作系统、是否管理员运行、安装杀软信息、CPU信息、运行时长、感染时间、分组和插件信息。

该Gh0st变种木马,调用插件使用了反射式DLL注入技术,从C2服务器返回数据中读取PE数据加载执行,减少文件"落地"被查杀,因此更容易绕过杀软的文件检测。

远控木马功能反射式注入dll  

2.虚假Telegram安卓端

在移动互联网时代,全球移动操作系统市场中,安卓占据了半壁江山,如此巨大的份额也引来了大量不法分子从事非法活动。钓鱼网站中Telegram的安卓安装包也被添加了广告模块和上传用户隐私的模块。

为了与C2服务器连接的稳定性,会从以下四个域名选取访问速度最快的进行连接。

广告模块主要以注册会员、购买卡密、收取广告费进行盈利。

上传用户信息调用分布在org.telegram.ui.DialogsActivity和org.telegram.ui.LaunchActivity类中:

以下是获取用户隐私数据的具体方式:

①获取隐私聊天记录

在应用界面恢复到DialogsActivity时,从SQLite数据库中获取最后一次上传时间到当前时间的聊天记录,调用uploadSecretMsg上传到服务器。

②获取位置信息

使用Telegram开源代码中的定位功能,获取定位信息并上传服务器。

③获取联系人和Tg用户信息

在DialogsActivity创建视图时,创建一个定时任务,每隔60秒执行一次上传uploadContactsBook函数,该函数根据参数控制上传联系人或Tg用户信息。

联系人信息

Tg用户信息

④获取公开组信息

在上传隐私聊天记录时,获取聊天的类型,如果是公开组则上传组对应的id和名称。

3.关联

通过Censys搜索"Telegram中文版",发现IP 45.114.106.2-45.114.106.6为同一内容的钓鱼网站。

目前搜集到的相关钓鱼网站域名如下:

telegram-cn.org

telegram-vip.com

telegramcn.org

telegrcn.org

telegramsvip.com

由于Telegram没有官方的中文安装包,普通用户通常会使用第三方搜索引擎来查找对应的中文安装程序,该团伙针对这类用户,在谷歌、必应等搜索引擎做了相应的SEO优化,提高其钓鱼网站在相关搜索关键词结果页的排名,甚至还在谷歌中投放相关的广告来给自己网站引流,可谓是煞费苦心。

1605008227_5faa7b63e7a86b6af4077.png!small?1605008230186

1605008244_5faa7b7427e9256cdb110.png!small?1605008246527

4.总结

目前,钓鱼网站仍在持续运行、更新中,建议广大用户安装金山毒霸杀毒软件保护自己的信息安全。同时提高个人安全意识,下载软件时,尽量到官方网站或正规的第三方下载。

IOC

MD5:

5d605a0f6f1bea25b528ef7a258f5304

ffbfe89d3e01dd9fd6f8c7ade96fe51d

49d9e4337da8d3956c752ba8c896a826

7bde93fd52e668e7c7a47f1073784cfe

08e97bf5b77800a2256d26c8fa049d87

fe2d2b11632e465827e9dcac.41fae79a

2cba6bd2a7a27d708d6c70b8aeec13c5

签名:

OORT inc.

Driver Information Technology Co., Ltd.

C2:

154.222.103.58:7878

185.224.168.130:3563

1928.ga

1928.gq

1oba.com

hamster2018.com

telegram-cn.org

telegram-vip.com

telegramcn.org

telegrcn.org

telegramsvip.com

# 系统安全 # telegram
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录