虚拟货币小浣熊

Bitget下载

注册下载Bitget下载,邀请好友,即有机会赢取 3,000 USDT

APP下载   官网注册

“浣熊(RACCOON)”,于今年新出现的一种间谍软件(infostealer),尽管在功能并不复杂和新颖,但的确已经感染了全球10万多台计算机,甚至被网络安全公司Cybereason认为是2019年暗网交易市场十大最热门的恶意软件之一。

图1.2019暗网交易市场十大最热门恶意软件(来源:Recorded Future )

Cybereason表示,RACCOON到目前为止已经建立起了一支强大的追随者群体,这来源它被作为恶意软件即服务(MaaS)提供,与之相关的广告宣传随处可见。

RACCOON是一种什么病毒?

RACCOON,也被称为“ Mohazo”或“ Racealer”,它的核心组件是一个简单的信息窃取程序,通常出现在Fallout和RIG漏洞利用工具包中。

Raccoon是采用c++编写的,能够在32位和64位操作系统上运行,可用于窃取信用卡信息、加密货币钱包,以及与浏览器和电子邮件客户端等相关的数据,具体如下:

  • 信用卡信息
  • 加密货币钱包
  • 密码
  • 电子邮件
  • 来自几乎所有主流浏览器的数据,包括信用卡信息、URL、用户名和密码等
  • Cookie
  • 系统信息

谁是RACCOON的开发者?

RACCOON的开发者被认为是一个母语是俄语的团队,因为有关它的广告最初仅出现在俄语黑客论坛上。具体来说,自今年4月份以来,它的开发团队就一直在积极地开展广告宣传活动。

图2.俄语黑客论坛上的RACCOON广告

如上所述,RACCOON以恶意软件即服务(MaaS)的形式出售,且具有易于使用的后端控制面板,目前的售价为每月200美元。

RACCOON如何感染目标计算机?

Cybereason公司表示,RACCOON的传播方式有很多种,最常见的是漏洞利用工具包、网络钓鱼电子邮件以及与恶意软件捆绑在一起。

漏洞利用工具包

一旦用户访问了恶意页面,就会被重定向到包含漏洞利用代码的登录页面,进而导致计算机感染RACCOON。

具体来讲,漏洞利用工具包首先会在浏览器中生成一个PowerShell实例,然后下载RACCOON。

图3. 借助Fallout漏洞利用工具包传播RACCOON

网络钓鱼电子邮件

钓鱼电子邮件所携带的附件通常是一份Ofiice文档,一旦打开,内嵌的恶意宏代码就会执行。

恶意宏代码执行后,首先会创建于恶意域的链接,然后下载RACCOON。

图4. 借助网络钓鱼电子邮件传播RACCOON

与恶意软件捆绑在一起

恶意软件通常伪装成合法软件,下载并安装这样的软件,也就会导致RACCOON同时被安装。

RACCOON的核心功能分析

收集受感染计算机的本地设置

图5. RACCOON用于检查受感染计算机本地设置的代码

值得一提的是,RACCOON在检查受感染计算机的本地设置时,会将其与硬编码的语言列表进行对比,如果受感染计算机的语言设置是俄语、乌克兰语、白俄罗斯语、哈萨克语、吉尔吉斯语、亚美尼亚语、塔吉克语或乌兹别克语,那么它则会立即停止运行。

收集用户敏感信息

RACCOON能够使用多种方法来收集用户敏感信息,具体如下:

1.屏幕截图

图6. RACCOON用于进行屏幕截图的代码

为了实现屏幕截图功能,Raccoon会使用到GetDesktopWindow和CreateCompatibleBitmap,并将截图命名为“screen.jpeg”存储到Temp文件夹中。

2.窃取系统信息

Raccoon还会搜集受感染计算机的系统信息,包括用户名、IP地址、语言设置、操作系统版本,以及有关已安装应用程序和CPU、内存等的信息。这些信息将被存储到位于如下位置的文本文件中:

C:\Users\[用户名]\AppData\Local\Temp\machineinfo.txt

图7.Raccoon收集的信息

窃取浏览器信息

众所周知,许多保存到浏览器的数据都存储在本地计算机上的SQLite数据库文件中。例如,当用户在浏览器中保存其用户名和密码时,浏览器就会将数据存储在Login Data SQLite数据库文件中。

此外,浏览器还会将cookie信息存储在cookie文件中,并将其他自动填充数据(如信用卡信息)存储在Web Data文件中。

Raccoon能够从30多款不同的浏览器中窃取这些信息,具体如下:

  • Chrome
  • Amigo
  • RockMelt
  • Sputnik
  • Chromium
  • Orbitum
  • 360Browser
  • Kometa
  • Xpom
  • Bromium
  • Vivaldi
  • uCozMedia
  • Comodo
  • Nichrome
  • Opera
  • QIP Surf
  • Epic Privacy Browser
  • CocCoc
  • Suhba
  • Chedot
  • CentBrowser
  • Elements Browser
  • Safer Technologies - Secure Browser
  • Superbird
  • 7Star
  • TorBro
  • Rafotech - Mustang
  • Torch
  • Firefox
  • WaterFox
  • SeaMonkey
  • Pale Moon
  • GO!

图8.Raccoon用于窃取浏览器数据文件的代码

在窃取到这些文件后,Raccoon会对它们随机命名,然后复制到Temp文件夹中。

随后,它将使用从其C2服务器下载的DLLSQLite3.dll来解析文件并提取敏感数据。被窃取的信息将被分为多个文本文件,并被保存在“Temp/browsers”文件夹下。

此外,Raccoon还会创建了一个名为“passwords.txt”的文件,用于保存从受感染计算机上窃取的所有密码。

图9. passwords.txt示例,其中包含Raccoon窃取的密码

窃取OUTLOOK帐户

图10.Raccoon用于提取有关Microsoft Outlook帐的信息的代码

Raccoon能够从受感染计算机上的注册表项中提取有关Microsoft Outlook帐户的信息,具体注册表项如下:

  • HKEY_CURRENT_USER\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts
  • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings
  • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook

另外,Raccoon还会在Windows注册表中搜索存储在电子邮件客户端中的敏感信息,如用户名和密码,然后将其保存到“Temp/mails”文件夹下的文本文件中。

图11.Raccoon用于从电子邮件客户端收集账户信息的代码

窃取加密货币钱包

Raccoon会在受感染计算机上搜索多款加密货币钱包,具体如下:

  • C:\Users\<user>\AppData\Roaming\Electrum\wallets
  • C:\Users\<user>\AppData\Roaming\Jaxx\Local Storage
  • C:\Users\<user>\AppData\Roaming\Exodus\exodus.wallet
  • C:\Users\<user>\AppData\Roaming\Ethereum Wallet

只要找到任何一款,它就会将其保存到Temp文件夹下,然后进行自动处理。

数据上传和自我删除

在收集到所有数据之后,Raccoon会将它们打包成一个zip压缩文件(gate.zip),然后上传到C2服务器。

图12. gate.zip所包含的内容

在数据上传完成之后,Raccoon会从受感染计算机中删除其二进制文件——使用ping.exe生成cmd.exe并执行delete命令。

图13.Raccoon创建的恶意进程旨在清除任何可能的痕迹

结论

尽管Raccoon可能并不是暗网交易市场上最具创新性的间谍软件,但它仍对大量不法分子产生了巨大的吸引力,这主要来源于其开发团队铺天盖地的广告,以及给网络犯罪提供的便利。

Raccoon受到热捧的这一事件说明,恶意软件的开发者想要获取非法收益,甚至都不用直接参与犯罪,只需搭建一个平台就足以实现。而另一方面,不法分子想要实施网络犯罪,甚至都不需要掌握太多的技术,仅仅花上几百美元就可以完成这一切。

近年来,尽管多个国家有关当局都针对暗网交易市场加大了打击力度。但事实证明,这条路似乎还十分漫长。

相关推荐

虚拟货币小浣熊文档下载: PDF DOC TXT
文章来源: 肖肖
版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至2384272385@qq.com举报,一经查实,本站将立刻删除。