首页
论坛
课程
招聘
警惕新传奇私服游戏Rootkit
2022-3-10 23:03 7255

警惕新传奇私服游戏Rootkit

2022-3-10 23:03
7255

今日,本人在一受害者机器捕获到一Rootkit病毒

 

驱动病毒数字签名如下图所示:

 

火绒日志:
病毒名称:Trojan/Generic!59988760580B1A3C
病毒ID:59988760580B1A3C
病毒路径:C:\Windows\System32\drivers\501c54b0.sys
操作类型:修改
操作结果:已处理

 

进程ID:4
操作进程:System
父进程:Idle

 

目前已知的主要症状为火绒能够反复扫描到病毒驱动,专杀无法检出病毒驱动

 

经过对其火绒日志的查阅,我们可以发现,火绒不仅是“文件实时监控”模块监测到了病毒驱动的释放,而且“WEB扫描”模块监测到了病毒驱动的下载行为。那就跟好办了,也就是说火绒捕获到了下载命令行和下载URL。相关信息,如下图所示:

 

我们发现,病毒驱动的下载URL为“hxxp://103.107.191.185:2247/driverfile/2H72WFlov1Q.sys”

 

经过查阅“奇安信威胁情报中心”威胁情报,我们查阅到了以下URL:

 

(1)于是我们访问hxxp://103.107.191.185:2247/api/drive_config/drivedownloadfilelist,如下图所示:

 

{"data":{"filelist":[[{"number":"1","name":"SysName.sys","switch":"1","server":"ChaPox2","tag":"1","acc":"","altitude":"370024","serverDownloadFileName":"1k0ucWGxIQn.sys","serverDownloadFileMd5":"6E730CF4EBCD166D26414378CAB3A6D8"},{"number":"2","name":"SysNameUp.sys","switch":"1","server":"UpPox","tag":"2","acc":"","altitude":"370025","serverDownloadFileName":"2H72WFlov1Q.sys","serverDownloadFileMd5":"1152ECE24C2A1CDF14FD17B7314A2539"}]]},"message":"","success":"1"}

 

(2)我们发现“drive_config/drivedownloadfilelist”里面只有两个驱动
但是仔细观察威胁情报信息,细心的你有没有发现
http://103.107.191.185/api/safe/checkdownloadfile?filelist=[{"name":"fivesys_1.sys","md5":"e9a786a47d0b8df1fdfe691e609cb78e"}]

http://103.107.191.185/api/popup/fivedrivecheckdownloadfile?filelist=[{"name":"sysname.sys","md5":"f8ccabcbe08bbd2c8420f4d1cffcefd8"}]

 

本人并未找到f8ccabcbe08bbd2c8420f4d1cffcefd8的相关样本
但是通过对e9a786a47d0b8df1fdfe691e609cb78e的查询,我们发现这是一个2021年(3个月之前)的WHQL Rootkit,如下图所示:

 

至此,本篇分析溯源暂时好一段落

 

Ioc:
103.107.191.185
1152ECE24C2A1CDF14FD17B7314A2539
6E730CF4EBCD166D26414378CAB3A6D8
f8ccabcbe08bbd2c8420f4d1cffcefd8
e9a786a47d0b8df1fdfe691e609cb78e


看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

收藏
点赞0
打赏
分享
最新回复 (5)
雪    币: 430
活跃值: 活跃值 (1193)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
萌克力 活跃值 2022-3-11 12:01
2
0

~~~~~~~~~

最后于 2022-3-11 12:02 被萌克力编辑 ,原因: 1111
雪    币: 5945
活跃值: 活跃值 (1845)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
黑洛 活跃值 1 2022-3-15 20:03
3
0
雪    币: 22
活跃值: 活跃值 (443)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
醉後的温柔 活跃值 2022-4-1 12:57
4
0
侠客的驱动 早就存在了 十年了
雪    币: 9202
活跃值: 活跃值 (11023)
能力值: ( LV12,RANK:385 )
在线值:
发帖
回帖
粉丝
SSH山水画 活跃值 3 2022-4-1 14:23
5
0
不得不说奇安信和微步的情报平台还是挺全的
雪    币: 445
活跃值: 活跃值 (1334)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kakasasa 活跃值 2022-4-1 14:50
6
0
要玩人家游戏给你上个驱动怎么了,至于带不带那啥应该分析驱动功能。
游客
登录 | 注册 方可回帖
返回