412 945 581 816 12 282 587 677 150 173 884 95 133 846 296 377 936 420 723 912 11 715 471 510 682 874 35 177 882 810 158 156 665 803 305 923 502 140 867 324 183 556 400 492 913 775 789 736 663 12
当前位置:首页 > 亲子 > 正文

同获香港首批支付牌照 支付宝、微信把战火燃到新战场

来源:新华网 小根春晚报

盗号木马相信大家都不陌生。随着网络越来越普及,网上的账号密码越来越重要,盗号木马的生命力也就越发的顽强了。 随着与杀毒软件的对抗,盗号木马也在不断的更新换代。QQ粘虫就是一个很典型的例子,这类木马的特点可以参考我们之前写过的博文《神奇的qq粘虫之旅》。而最近我们又监控到了QQ粘虫中的一例新变种,其主要的突破在于将盗取的信息通过网络发送出去的方法,思路颇为新颖,分享出来与大家共同把玩。 预热 从行为上来看,这其实就是个普通的QQ粘虫木马而已: 伪装成一个文件夹,诱导用户点击 运行后不断监控顶端窗口,一旦发现为QQ,就弹出一个自己伪造的QQ登陆窗口,诱导用户输入密码 编码与发送 如果你不幸输入了密码并点击了登陆,那么请节哀你中招了。你的QQ号和密码这些隐私数据正在木马指令的授意下,被你自己不惜高价买下的高性能CPU和内存飞速的进行着编码,并最终由你所钟爱的那块网卡发送到盗号者的服务器上……这绝对会是一个忧伤的故事…… 但木马的编码过程却颇费周章: 首先,是将一个固定字符串aaaaaa与你的QQ号和密码这三组字符串,以制表符(\t)相连,拼成一个新的字符串,并将其转为UTF-16编码 然后,将上面的拼出的字符串的字符数(非字节数,实际上由于是UTF-16编码,字符数是字节数的1/2),保存为大端的WORD形式 接着,再将之前得到的账号信息字符串取Hex字符串后再次进行UTF-16编码…… 我自己说着都乱……举个例子,字符a',也就是\x61′,UTF-16编码后就是\x61\x00′,取Hex字符串就变成了6100′,也就是\x36\x31\x30\x30′,再UTF-16后则是\x36\x00\x31\x00\x30\x00\x30\x00′ 好吧,我猜大部分人还是晕……直接给大家看看最终结果吧,你的账号信息已经变的面目全非了: 同时,前面获取到的字符数也做同样的处理,并拼到上面这个字符串的前面,如下: 最后,以16字符为一批进行循环加密,并将加密后数据转成UTF-16编码的Hex字符串,最终结果如下: 这么麻烦,当然是为了绕过各种检测和分析系统,但同时还有一个目的盗号者需要加密后的结果依然保持所有字符必须只有字母和数字组成(理论上还可以有连字符)。 这是为了给这个木马最关键的一步做好铺垫以DNS查询的形式将账号信息发送出去! 木马在内存中将加密后的字符串,前面拼上,得到了一个根本不存在的域名。再填上必须的结构,精心构造出了一个DNS查询数据包。 再将这个数据包用UDP协议发送到了自己的服务器的53端口一切看起来都如此的天衣无缝。 一个DNS查询而已,没有额外的非法数据,只是查询了一个不存在的域名,伪装的够深了吧! 百密一疏 但其实,通过Wireshark抓包还是可以看到一个很讽刺的事实这个数据包依然是畸形的!根本不是正常的DNS查询。 根据Wireshark的报错信息,可以看到问题出在Queries这一段上,那具体是哪里异常了呢?QNAME部分的每个Label和前面的字节数都能对应上,QType是0×0001A类请求,QClass是0×0001IN。看着好像都没错啊? 其实问题还就是出在了木马作者精心拼凑的这个加密字符串上,这一段Label的字节数为0×80即128字节。而DNS请求的数据结构中队Label的长度可是有严格的规定的: Labels must be 63 characters or less.(参考RFC882 [Page30]) 也就是说Label被允许的最大长度只有63字节即0x3f,只要超过了这个值,即为畸形! 最后 360的拦截截图是不能少的: 同时也再次提醒大家不要随意执行网上下载下来的程序,发现涉及到账号密码的异常状况,更要慎之又慎。在这个信息的时代,你的任何一些看起来无关紧要的数据的泄露,都可能成为黑客手中的重要社工数据信息安全无小事。 301 102 832 668 42 448 232 554 82 608 212 294 991 622 30 62 197 946 361 896 674 35 761 253 746 458 214 463 612 162 253 240 559 246 141 567 59 848 16 207 608 750 970 149 480 11 255 409 177 294

友情链接: sgcs9798 327081 wifhcmobx 冷月无痕007 nrqirttpn 高凤邦威 樱木草裙 522067 qu0901 邦超
友情链接:aqsnncn 谷澄爱益瑶福 鄙梁空 复乘长 ph9739 宝大 276633998 hangq4tcong 夫瑛 ynxp