吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 57332|回复: 524
上一主题 下一主题

BanID:wty927【发布软件添加盗QQkey后门】

    [复制链接]
跳转到指定楼层
楼主
发表于 2018-8-21 15:31 | 只看该作者 回帖奖励 |倒序浏览
BanID:wty927【发布软件添加盗QQkey后门】



今天凌晨收到@LX2222 的举报反馈被盗号
发布的加速器盗取账号信息
https://www.52pojie.cn/thread-785555-1-1.html

我们着手分析一下看看软件确实发现了问题,被添加了盗取QQkey的后门,通过拿到QQkey后任意操作QQ邮箱,来盗取Steam账号。

一:木马行为分析:
文件下载后发现大部分文件都带有网易的签名,只有ui.dll和uu_main.dll文件没有,经过分析ui.dll应该原版就有,只是被添加了一个区段,作用是引入一个导入表,自动加载uu_main.dll执行。




那问题就简单了,只需要判断uu_main.dll到底是安全的破解补丁还是盗号木马了?uu_main.dll本身加了VMP3的壳,关键代码也被虚拟化了,直接运行看看也没可以字符串,常规思路没有进展,那就变换思路继续看看,先让DLL在OD里跑起来看看有什么。

借助Wireshark(抓包工具)和SSM(主动防御工具)【爱盘都有下载】,可以看到程序请求多个网址和一个本地的请求(这点嫌疑最大,盗QQkey的都是本地请求)




上面的线索让我们关注到有几个网络请求,但字符串中也没看到网址,Wireshark看到的www.liuqiang6666.xyz:8080网址就很可疑,加上还有一个本地请求,我想看看代码到底是写的什么,字符串加密了?

直接在程序一些网络函数api下端,发现HttpSendRequestA可以中断,不看不知道,一看还真是访问本地QQkey的请求:



进一步验证了猜想,到这里就简单了,继续分析,看看QQ这个URL哪来的,之前并没搜到,通过分析,原来URL前半部分是加密存的,运行解密出来:



既然把字符串加密了,也找到了解密的地方,那就直接在解密的地方下个断点,看看都解密了啥东西,不出意外,解密的全是和盗号有关的信息(只贴部分,还有很多加密的未贴):

http://www.liuqiang6666.xyz:
http://localhost.ptlogin2.qq.com:4300/pt_get_uins?callback=ptui_getuins_CB&r=0.7478418888058513&pt_local_tk=0.3858416392467916
TCP发信
360tray.exe
HipsMain.exe
火绒剑.exe

虽然木马把关键代码都VM掉了,我们依然可以从行为和部分代码进行分析判断出是盗号木马,如果我本机登录QQ,应该就可以触发到盗号发信的过程,后面就不演示了,欢迎大家跟进分析。

木马下载地址以及相关文件MD5:
hxxps://www.lanzous.com/i1k96ja (完整木马包)
uu_main.dll MD5: 57FC3BFE48069ECBA7F538CAC3EE55D1

二:木马防范

最近有很多人心生邪念,走入歧途,发布软件捆绑盗号木马,本帖中的木马已经从简单的捆绑走到了劫持加载,前段时间还看见有人直接添加区段,使用内存直接加载木马运行的,盗号手段也在日益更新,恰好论坛有来自各种安全公司的技术大牛,还有热爱安全的热心会员,在大家的帮助下我们可以第一时间发现危险并进行处理。(其实很多大家在没看到帖子的时候就已经在后台被管理发现处理,详见小黑屋。)

大家在使用程序时候建议安装安全软件,比如这个木马,360和QQ管家都能查杀(恩,第一时间我们就直接给官方推送查杀了),切忌使用的时候退出安全软件(木马才会说自己没毒,让你退出杀毒软件)。

Steam账号不建议使用QQ邮箱绑定,建议更换其他邮箱,如果非要用,QQ邮箱也应该加上一个独立密码(不太了解机制,是不是也没卵用?)。

如果你论坛账号使用QQ邮箱绑定了,建议登录设置安全验证问题!

最后如果你已经被盗或者使用过这个程序的,尽快修改QQ密码,并检查QQ邮箱设置中是否被设置转发规则等,防止再次被盗!


三:后话

虽然论坛有很多高手,但我们希望提高所有人的安全意识和识别能力,看上述我的分析,你是不是也想来试试?

大家对于新注册会员发布的内容请多加注意,有能力分析出问题的可以帮助我们尽快举报,大家合力保卫论坛安全。

想对那些心怀不轨的人说,你在吾爱破解这样的技术论坛玩这种小伎俩,分分钟就给你剥皮把肉看得清清楚楚了,这里都是活跃在互联网安全界的精英,任何小动作都是自讨苦吃,奉劝那些蠢蠢欲动的人,尽快走入正途,不要误入歧途!

最后感谢大家一直以来对吾爱破解论坛的支持和维护,论坛安全离不开大家监督,任何违法违规的行为都逃不过大家的眼睛和管理的审查,对待此类*渣论坛绝不手软,坚决处罚到底!

点评

见过很多 Steam 帐号被盗后被游戏封禁的案例(绝地求生游戏作弊),确实就是通过绑定的 QQ 邮箱 盗取的。强烈呼吁谨慎绑定 QQ 邮箱,不安全因素太多了。  发表于 2018-9-22 14:16
电脑从来不挂QQ 登录论坛都是手机扫一扫  发表于 2018-9-2 22:50
心怀不轨的人在角落瑟瑟发抖。。。我就说我咋从不被盗QQ 原来我好久没上过QQ了 哈哈  发表于 2018-8-25 18:36

免费评分

参与人数 415吾爱币 +405 热心值 +396 收起 理由
qztqdn + 1 + 1 热心回复!
447094783 + 1 + 1 我很赞同!
VMFire + 1 + 1 厉害厉害
giftia + 1 + 1 谢谢@Thanks!
6263085 + 1 + 1 谢谢 那些大牛为吾爱保驾护航,吾爱就是我这样的小菜鸟的天堂
fuliang110 + 8 + 8 我很赞同!
天生迟钝 + 1 + 1 我很赞同!
staty + 1 + 1 我很赞同!
joedy + 1 + 1 我很赞同!
q526840 + 1 + 1 emmm...我很赞同!
风吹麦飘 + 1 + 1 我很赞同!
Momentary刘 + 1 + 1 我很赞同!
VxmCom + 1 + 1 我很赞同!
yinyushiu + 1 + 1 谢谢@Thanks!
LNDU97 + 1 鼓励转贴优秀软件安全工具和文档!
Jessicá + 1 + 1 谢谢@Thanks!
罗马教堂的钟声 + 1 用心讨论,共获提升!
wjf961125 + 1 用心讨论,共获提升!
zz88811 + 1 + 1 感谢您的宝贵建议,我们会努力争取做得更好!
a99666 + 1 + 1 我很赞同!
zswseu + 1 + 1 我很赞同!
lqaj1987 + 1 + 1 评分晚了,感谢大佬保护了我5年不玩的QQ号
灰色流浪 + 1 + 1 谢谢@Thanks!
coolbearhi + 1 + 1 我很赞同!
极地企鹅 + 2 + 1 用心讨论,共获提升!
chenyuqi + 1 + 1 我很赞同!
PD6pang + 1 + 1 热心回复!
大几几的女孩子 + 1 + 1 谢谢@Thanks!
hello9527 + 1 + 1 谢谢@Thanks!
zhangjia6626728 + 1 我很赞同!
Qiao + 1 + 1 我很赞同!
yong2050 + 1 + 1 我很赞同!
wanbinbo + 1 + 1 我很赞同!
kyong + 1 + 1 我很赞同!
agrounds + 1 + 1 热心回复!
ohyesbb + 1 永久封禁垃圾
dking18 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
yj741963 + 2 + 1 我很赞同!
rfzzx + 1 + 1 我很赞同!
q2we + 1 + 1 用心讨论,共获提升!
zwkid + 1 谢谢@Thanks!
siuhoapdou + 1 + 1 谢谢@Thanks!
Norkie + 1 热心回复!
Neversay + 1 + 1 谢谢@Thanks!
1绝对1 + 1 + 1 谢谢@Thanks!
lhp1120 + 1 + 1 谢谢@Thanks!
豆浆入侵 + 1 + 1 谢谢@Thanks!
阳枭 + 1 我很赞同!
haobinwu01 + 1 + 1 我很赞同!
547719291 + 1 + 1 热心回复!
Mr.[先知] + 2 + 1 我很赞同!
金色灬流年 + 1 + 1 膜拜一波
新无极 + 1 + 1 我很赞同!
y9264880 + 1 + 1 谢谢@Thanks!
ywsmart + 1 + 1 谢谢@Thanks!
google12306 + 1 + 1 谢谢@Thanks!
SilverCrow + 1 + 1 我很赞同!
cyx12138 + 1 + 1 热心回复!
eleckits + 1 我很赞同!
fancygin + 1 + 1 我很赞同!
malili2111 + 1 + 1 我很赞同!
chencsh + 1 + 1 我很赞同!
feichangzhexue + 1 + 1 我很赞同!
辣手233 + 1 + 1 我很赞同!
AgonieMask + 1 + 1 谢谢@Thanks!
卖血上网 + 1 + 1 我很赞同!
w2798050 + 1 + 1 谢谢@Thanks!
六小哥哥 + 1 + 1 我很赞同!
孤胆枪手 + 1 + 1 热心回复!
xwk + 1 + 1 我很赞同!
dumin21 + 1 + 1 已经处理,感谢您对吾爱破解论坛的支持!
dnqian + 1 谢谢@Thanks!
toplive + 1 + 1 我很赞同!
小黄哥 + 1 我很赞同!
coolsnake + 1 + 1 我很赞同!
Fuic + 1 我很赞同!
雪源林海2018 + 1 + 1 谢谢@Thanks!
qosk + 1 + 1 我很赞同!
忘川123 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
jyyzljb + 1 + 1 我很赞同!
萌三岁 + 1 + 1 我很赞同!
幼幼小白兔 + 1 谢谢@Thanks!
kiku1987 + 1 + 1 谢谢@Thanks!
独行风云 + 1 + 1 谢谢@Thanks!
zhgkay + 1 + 1 我很赞同!
congcong8047 + 1 谢谢@Thanks!
巨蟹之猪 + 1 + 1 热心回复!
ChuangTzuping + 1 + 1 我很赞同!
老板来包辣条 + 1 + 1 用心讨论,共获提升!
wch2012asd + 1 + 1 我很赞同!
o77477 + 1 + 1 论坛管理大牛们辛苦辣!
BaseenHomles + 1 + 1 谢谢@Thanks!
森眸暖光 + 1 + 1 我很赞同!
terrych + 1 用心讨论,共获提升!
it1024 + 1 我很赞同!
kftianji + 1 + 1 谢谢@Thanks!
st1717 + 1 + 1 我很赞同!
WQ138 + 1 热心回复!
流星无痕 + 1 + 1 谢谢@Thanks!
lengmo_ + 1 我很赞同!

查看全部评分

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
发表于 2018-8-21 16:19 | 只看该作者
天网恢恢,疏而不漏。请木马制造者不要低估论坛大牛的能力,以身试法,你做的一切事情必将留下蛛丝马迹,你的小伎俩在高人面前或许只是一些皮毛。

另外我提醒广大会员,提高一下自己的防范意识,特别是xx加速器、xx原创辅助要特别小心,木马制造者常常已这些东西作为诱饵,来盗取你的账号,造成难以估量的损失。如果需要使用加速器、原创辅助等软件,建议各位会员先浏览一下回复,然后再决定是否下载,账号的密保要完善,比如使用Gmail等安全系数较高的邮箱,开启密保问题等。

免费评分

参与人数 2吾爱币 +1 热心值 +2 收起 理由
82085844 + 1 之前就在52下了个群发的,qq邮箱给盗了导致苹果给硕。上来发帖老大还骂我黑.
mutou666 + 1 + 1 见过别人说不要用qq邮箱,没想到安全性这么差...

查看全部评分

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
发表于 2018-8-21 15:36 | 只看该作者
很多人都喜欢说多少多少钱从某宝买的,然后再发到论坛,之后就好像一副事不关己的样子!

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
发表于 2018-8-26 15:26 | 只看该作者
哇,这个要是发布到其他论坛里面估计大部分人都会中招,还好吾爱大佬多,一下就发现问题,支持!!!

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

推荐
发表于 2018-8-21 15:50 | 只看该作者
是不是免费用UU加速器吃鸡的意思?

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

地板
发表于 2018-8-21 15:34 | 只看该作者
第一板凳?  话说最近杂这么多盗QQkey的

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

7#
 楼主| 发表于 2018-8-21 15:39 | 只看该作者 |楼主
再贴一个前几天看到的同样手法的样本MD5:E577DE76E3B090F01AC174D50D796104
域名:http://www.tt562669.xyz:8080

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

8#
发表于 2018-8-21 15:39 来自手机 | 只看该作者
我一般只用outlook邮箱

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

9#
发表于 2018-8-21 15:42 | 只看该作者
感谢大神让我们免灾害

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

10#
发表于 2018-8-21 15:43 来自手机 | 只看该作者
支持严惩盗号的,特别是在吾爱发木马的

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

11#
发表于 2018-8-21 15:46 | 只看该作者
老大威武 处理这类败类绝不手软

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

12#
发表于 2018-8-21 15:49 | 只看该作者
不玩吃鸡很久了  感谢大大来曝光并解毒

发帖求助前要善用论坛搜索功能,那里可能会有你要找的答案;

如果你在论坛求助问题,并且已经从坛友或者管理的回复中解决了问题,请把帖子分类或者标题加上【已解决】

如何回报帮助你解决问题的坛友,一个好办法就是给对方加【热心】,加分不会扣除自己的积分,做一个热心并受欢迎的人!

您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则


免责声明:
吾爱破解所发布的一切破解补丁、注册机和注册信息及软件的解密分析文章仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除上述内容。如果您喜欢该程序,请支持正版软件,购买注册,得到更好的正版服务。如有侵权请邮件与我们联系处理。

Mail To:Service@52PoJie.Cn

快速回复 收藏帖子 返回列表 搜索

RSS订阅|手机版|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2018-9-25 07:07

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表