暗夜小偷:RedlineStealer木马盗币分析
By:爱上平顶山 & 耀 近日,据慢雾区情报反馈,有不少朋友遭遇钓鱼木马,已经导致数百万美金的损失。 据我们了解,这种攻击主要是通过 Discord 邀请用户参与新的游戏项目内测,打着“给予优惠”等幌子,或是通过群内私聊等方式发一个程序让你下载,一般是发送压缩包,解压出来是一个大概 800 M 左右的 exe 文件,一旦你在电脑上运行,它会扫描你电脑上的文件,然后过滤包含 Wallet 等关键词的文件上传到攻击者服务器,达到盗取加密货币的目的。 时间线 最早这类骗局出现在 2022 年 8 月 1 日,以 WinSomeNFT 的项目名称出现: ![]() 2022 年 8 月 1 日,以 CthulhuWorldP2E 的项目名称出现:![]() (https://twitter.com/Estetshcrypto/status/1561290861652082689) 2022 年 8 月 30 日,再次出现:![]() (https://twitter.com/NiqisLucky/status/1564315179466166272) 然后再次以 idlemaster3d 项目名称出现: 官网:https://idlemaster3d.com DC:https://discord.gg/KFyqCdRRst ![]() ![]() DC 看起来似乎正常,但怀疑他们是直接 Fork 真 DC 消息过来,以假乱真,里面大量机器人。 ![]() 目前该项目改名为 Yoyo Game Ltd(https://twitter.com/YoyoGame_RPG)继续诈骗。 分析推特用户 @BoxMrChen 遇到的情况: ![]() (https://twitter.com/BoxMrChen/status/1566053823281410050) 他遇到的木马名称是:Master3DRPG_v3.5.3.zip,我们以此木马文件为例分析: ![]() 解压后的文件:Master3DRPG_v3.5.3.exe,大小 749.7 M。正常木马文件不会这么大,所以我们用文本编辑器打开看下: ![]() 填充大量 0000 空文件,导致木马文件巨大,这样可以逃避杀毒软件查杀。 (注:正常在线杀软分析大小 50 M, PC 端杀毒软件能分析的文件大小大概 500 M 左右) 我们直接批量删除所有的 0000 文件,整理出一个 300 KB 左右的真实木马文件: ![]() 虚拟机运行,简单抓个包、监控下进程,看看行为: ![]() 扫描 Wallet 钱包相关信息,并上传到远程 C2 服务器。 发现它以伪装成 Flash Player 更新包程序方式进行控制: ![]() 我们再使用微步在线分析,在 Win7 64 bit 分析网络行为: ![]() ![]() ![]() 该 IP 77.73.134.5 近期关联多个恶意样本,都是针对加密圈用户钓鱼: ![]() ![]() 当时诈骗人员创建 24 个推特账户(包括主账户)进行诈骗推广。 我们再看下木马信息:是 RedLine Stealer 家族木马 ![]() (https://bazaar.abuse.ch/sample/0cf542852fcec699b8c6be230e5b38daa7380479cace60f2a6d3a3fcd357b718/) RedLine Stealer 家族木马是什么? RedLine Stealer 是一种恶意木马软件,2020 年 3 月被发现,在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时,会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。 新版本的 RedLine 增加了窃取加密货币的能力,能够自动扫描本地计算机已安装的数字货币钱包信息,并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。 ![]() (https://malpedia.caad.fkie.fraunhofer.de/details/win.redline_stealer) 从下图可以看到,针对加密货币钱包目录、钱包文件进行扫描,目标很明确。 ![]() 我们看下他们的官方发布功能:非常齐全的功能,而且价格便宜。 ![]() 服务也 SaaS 化: ![]() 选择产品: ![]() 展示每款产品的价格: ![]() 准备付款: ![]() 同意相关协议、付款: ![]() 典型的俄语生态木马: ![]() 我们可以看到还有针对 MetaMask、Wallet 等信息。 窃取程序针对以下钱包和浏览器扩展进行攻击:MetaMask, YoroiWallet, TronLink, NiftyWallet, MathWallet, Coinbase, BinanceChain, BraveWallet, GuardaWallet, EqualWallet, JaxxxLiberty, BitAppWallet, iWallet, Wombat, AtomicWallet, MewCx, GuildWallet, SaturnWallet, RoninWallet。 总结 随着 Web3 兴起,加密货币越来越流行,传统的黑客组织、独狼黑客也瞄准了加密货币行业,他们针对加密货币钱包发起攻击,像 Redline 这样的恶意软件,可以以每月 100 美元的价格轻松提供给犯罪分子,这对加密货币用户产生巨大的威胁。 慢雾在此建议行业从业人员随时关注国内外安全公司安全情报,做好自我排查,提高警惕,运行可执行程序之前,做好必要的安全检查。建议 Windows、Mac 电脑用户务必安装杀毒软件,如卡巴斯基、AVG、360 等,保持安全软件实时防护开启,并随时更新最新病毒库。 在区块链黑暗世界,时刻保持警惕,切勿贪婪捡便宜,个人安全意识永远是安全的第一道防线。 |
2019-01-10
2019-11-14
2018-11-20
2019-11-14
2019-11-13
2018-06-24
2019-11-14
2019-01-10
2019-01-10