一次针对WeGame的BYOVD盗号木马剖析

sxaq

近日，我司例行检测中，捕获到一个针对WeGame游戏平台的新型窃密样本，该样本行为隐蔽、对抗性强，安全团队第一时间启动应急分析，通过分析，完整还原了该木马的窃密逻辑。
该盗号木马通过白驱动加载黑驱动的方式，借助内核级反射式PE加载技术加载恶意驱动，读取WeGame数据；本文将对样本的逆向过程与技术细节进行深度拆解。
系统日志记录如下，cli2update.exe 为盗号木马的主程序。

样本的SHA256如下：



一、核心行为逆向分析


样本启动后，并不立即执行恶意行为，而是校验运行环境。先通过进程快照（ CreateToolhelp32Snapshot ）的方式检查 wegame.exe 是否运行。若未发现WeGame进程在运行，则进入休眠轮询状态。

在确认进程存在之后，样本进一步验证用户登录状态，确保受害者已经成功登入，检测到 rail.exe 进程存在。

调试发现，该样本也内置了xclient.exe网吧安全程序的字符串信息，这些字符串同样加密，并在运行时动态解密。在解密函数的结尾下断点可以看到解密后的字符串内容，如图所示：

解密后的进程字符串清单如下，包括：xclient.exe ,xcomw.exe,xcomu.exe,ACE-Tray.exe,等进程。

在信息收集结束并且环境检测也通过后，样本从云存储下载一个大小为 3783680 字节的恶意DLL。样本使用反射加载技术，在自己的进程空间中通过反射注入的方式加载这个DLL。全程避免LoadLibrary等监控点触发，具有明显的反分析意识。这个DLL最终会出现在程序的私有内存中，并不会出现在模块列表中。

该恶意DLL导出了一些核心函数，是盗号的主要依赖技术。

待恶意DLL加载完毕，该样本调用恶意DLL的导出函数 HD_DriverLoad，该恶意DLL在Temp目录下释放了一个带有Microsoft Windows Hardware Compatibility Publisher有效签名的合法驱动文件，并使用随机字符串命名这个文件。由于驱动带有有效签名，此驱动会被顺利地加载进内核空间中。
然而，该合法驱动的真正用途并非直接进行恶意行为，而是充当一个内核代码加载器。



逆向该合法驱动发现，其 DriverEntry 中通过 IoCreateDevice 创建设备对象，并提供一个通信接口，其实现存在极高风险——它接受用户态传入的输入缓冲区，将其解释为一个加密的PE文件，然后在内核中执行解密与加载。

如图所示，分发函数中会调用PsCreateSystemThread创建一个系统线程，将解密和加载逻辑置于该线程中执行。逆向分析确定该解密算法为 RC4 流密码（Rivest Cipher 4），密钥硬编码于驱动中，密钥为：dsmjklsafbv

白驱动在非分页内存池中申请空间，将解密后的PE镜像按照其节表进行映像，手工处理重定位及导入表。此种技术即为内核模式下的反射式加载。

在用户态，盗号木马的恶意DLL通过 CreateFile 打开合法驱动的设备对象，并调用 DeviceIoControl，将一个加密的恶意驱动文件数据作为输入缓冲区传入。

该恶意驱动文件本体同样被加密，左侧为传入的原始加密数据。

在解密之后，恶意驱动的基本信息如下：

当恶意驱动加载起来之后，盗号木马就可以任意读取所有进程的内存了。
盗号木马首先解密出需要调用的导出函数字符串名称，然后通过自己实现的GetProcAddress函数，用来获取恶意DLL的导出函数地址，通过直接调用导出函数来控制恶意驱动读取WeGame的内存。

凭证窃取的第一步是获取受害者的QQ号码。分析显示，木马在WeGame进程内存中扫描一个硬编码的二进制特征码：22 75 69 6E 22 3A 22，其ASCII字符串为 "uin":。WeGame客户端在登录后会将当前登录的QQ号码以JSON片段形式存储在堆内存中，该特征码正是定位账号字段的关键标识。


根据特征码在WeGame内存中的搜索结果如下：

接着获取用户的密码哈希，会话令牌等敏感信息（pass, stpass, token），用于后续免密登录及服务鉴权。

这些信息同样可以在wegame.exe进程的内存中找到。
PASS:

STPASS:

TOKEN:

在拿到这些信息之后，盗号木马这些信息加密并打包发送给黑客服务器。

二、IoCs

• MD5: 9b80c3879f77b11b7207f8336101b486
• SHA-1: e9725da4441bb736b4a2834edc652dc7e3318ae8
• SHA-256: eefacb5cf039f7512c110564a489c7464032eea8ddb1781d3cac69db2f106d0d
  

三、处置建议与防护方案
1.源头管控：确保网内所有商业核心软件均来自正版合规厂商，勿使用盗版、破解版或来源不明的“免费版”商业程序。从源头建立可信供应链是防御根基。
2.终端加固：部署安全软件，并实时更新，有效拦截反射加载、白驱动利用等高级攻击手法。

Arekus

axeofluban 发表于 2026-7-31 11:37
不懂就问哈，这个都用自己的签名来搞黑产了，那是否可以循着这个签名去抓人呢？！

很多都是注册的皮壳公司，公司法人不一定是他，不过有些所谓的黑产人员并不太聪明，可能会用自己本人的信息注册

retorlin

说真的挺喜欢这类贴子的，看着大佬们的分析过程就觉得很厉害，虽然看不懂，但很崇拜

axeofluban

不懂就问哈，这个都用自己的签名来搞黑产了，那是否可以循着这个签名去抓人呢？！

dk20260721

是这样啊

sbj496

不好说，得再看看

水清无余

虽然看不懂 但是很厉害的大佬

ldwz

axeofluban 发表于 2026-7-31 11:37
不懂就问哈，这个都用自己的签名来搞黑产了，那是否可以循着这个签名去抓人呢？！

抓不住的。都是代理注册。网上找的。

HFQ

之前黑网吧上网密码被盗应该也是这种病毒吧

阿鹏大大

这么牛，感谢分析

MMCBQFCAZ

太棒了，加油继续分析