凯特盒子封号不有病毒吗(凯特盒子怎么用)

凯特盒子封号不有病毒吗(凯特盒子怎么用)

近期,360安全大脑检测到一款名为”LOL凯特盒子”的换肤软件,在后台偷偷下发QQ空间/兴趣部落暗刷回复和QQ/WeGame盗号相关的木马病毒,基于英雄联盟这款游戏庞大的用户量,此类病毒的感染量也在持续上涨。LOL凯特盒子的官网如下:

技术分析

LOL凯特盒子运行后,会从”天翼云盘”下载病毒程序Skin_GG1.zip(该文件并非压缩文件,而是32位可执行文件),Skin_GG1.zip除了给QQ空间和兴趣部落刷回复之外,还会加载资源中携带的Win32Dll.dll,动态库被加载后会释放键盘记录驱动ctrl2cap64.sys,并通过发送不同的控制码控制病毒驱动记录用户输入的键盘记录。整体的病毒流程如下图所示:

后门

Skin_GG1.zip会先从www.wu52q.cn/?c=Public&a=get_config获取如下的配置信息:

解析配置文件,并根据配置文件执行不同的病毒逻辑,当goto_svchost字段的值为1时,病毒会将自身伪装成系统文件csrss.exe,根据c1的值来判断是否下载其他病毒模块,d1则是对应的下载链接。当执行完上述流程之后,就进入刷量的主流程,完整的病毒逻辑,如下图所示:

暗刷

Skin_GG1.zip从www.wu52q.cn/?c=Public&a=get_task获取刷量配置,其中cont字段中保存要回复的内容。然后利用QQ快速登录协议的缺陷,伪造相关的请求包进行刷量:

测试过程中发现是替”腐女部落”,”耽美部落”等兴趣部落刷回复,此外在代码逻辑中还看到刷QQ空间回复的相关代码逻辑。

盗号

Skin_GG1.zip资源中携带盗号的动态库Win32Dll.dll,调用其导出函数_E(),开始执行盗号逻辑:

Win32Dll.dll会释放一个病毒驱动到%temp%目录下加载,该驱动是一个键盘记录器,可以从应用层通过DeviceIoControl()发送不同的控制码来控制驱动监视键盘记录,驱动文件信息如下:

不同的控制码对应的功能如下:

Win32Dll.dll在检测到当前窗口是QQ或者WeGame的窗体时,就发送0x0x222004开始监听键盘记录,记录完成后发送0x222010读取记录的数据,并将其发送到C&C服务器,代码逻辑如下:

溯源

在LOL凯特盒子官网(www.lolkt.cn),我们发现该软件作者的网名叫 “淡忘的小毅”, 在官网的”联系本站”界面,我们找到病毒作者的QQ号为1490201192:

在软件”关于凯特”选项中,”捐赠作者”的支付宝账号和微信账号也都是这名叫”淡忘的小毅”的”网友”。

在支付宝付款界面看到他的真名应该叫”*国伍”

安全建议

(1) 尽量不使用未知安全性的软件,不使用破解程序,游戏辅助,外挂等等。

(2)使用过LOL凯特盒子的用户,建议尽快修改QQ密码,并通过weishi.360.cn下载360安全卫士进行查杀。

分享到 :
相关推荐

18种营销方式

营销不同于普普通通的销售,其中夹杂着许多的战略思想,销售的战术不好可能会造成丢失一个...

怎么做微信推广和宣传

做微信营销推广,朋友圈是非常重要的,把朋友圈做好了,就有了客源,有了客源再增加上互相...

qq群发器免费(qq群发器免费版手机版)

六大串,神技能!不服你打我!电脑qq群怎么发给所有人呢?比如你有什么重要的事情要告[...

朋友圈卖东西怎么宣传(如何在朋友圈卖东西)

微信朋友圈广告是基于微信生态体系,以类似朋友的原创内容形式在用户朋友圈进行展示的原生...

杭州品牌折扣店,杭州下沙品牌折扣店

这座在杭州下沙开了17年的商贸城,歇业进入倒计时,消息引来一波回忆杀——人生第一套西...

全本玄幻小说(玄幻小说 全本)

第一本:《史上最强炼气期》作者:李道然简评:修炼了将近五千年的方羽,还是没有突破炼[...

江苏计划生育条例2013,2013安徽计划生育条例

嗨,各位朋友们大家好自2016年1月1日起全面二孩政[&...