“浣熊（RACCOON）”，于今年新出现的一种间谍软件（infostealer），尽管在功能并不复杂和新颖，但的确已经感染了全球10万多台计算机，甚至被网络安全公司Cybereason认为是2019年暗网交易市场十大最热门的恶意软件之一。
图1.2019暗网交易市场十大最热门恶意软件（来源：Recorded Future ）
Cybereason表示，RACCOON到目前为止已经建立起了一支强大的追随者群体，这来源它被作为恶意软件即服务（MaaS）提供，与之相关的广告宣传随处可见。
RACCOON是一种什么病毒？
RACCOON，也被称为“ Mohazo”或“ Racealer”，它的核心组件是一个简单的信息窃取程序，通常出现在Fallout和RIG漏洞利用工具包中。
Raccoon是采用c++编写的，能够在32位和64位操作系统上运行，可用于窃取信用卡信息、加密货币钱包，以及与浏览器和电子邮件客户端等相关的数据，具体如下：
- 信用卡信息
- 加密货币钱包
- 密码
- 电子邮件
- 来自几乎所有主流浏览器的数据，包括信用卡信息、URL、用户名和密码等
- Cookie
- 系统信息
谁是RACCOON的开发者？
RACCOON的开发者被认为是一个母语是俄语的团队，因为有关它的广告最初仅出现在俄语黑客论坛上。具体来说，自今年4月份以来，它的开发团队就一直在积极地开展广告宣传活动。
图2.俄语黑客论坛上的RACCOON广告
如上所述，RACCOON以恶意软件即服务（MaaS）的形式出售，且具有易于使用的后端控制面板，目前的售价为每月200美元。
RACCOON如何感染目标计算机？
Cybereason公司表示，RACCOON的传播方式有很多种，最常见的是漏洞利用工具包、网络钓鱼电子邮件以及与恶意软件捆绑在一起。
漏洞利用工具包
一旦用户访问了恶意页面，就会被重定向到包含漏洞利用代码的登录页面，进而导致计算机感染RACCOON。
具体来讲，漏洞利用工具包首先会在浏览器中生成一个PowerShell实例，然后下载RACCOON。
图3. 借助Fallout漏洞利用工具包传播RACCOON
网络钓鱼电子邮件
钓鱼电子邮件所携带的附件通常是一份Ofiice文档，一旦打开，内嵌的恶意宏代码就会执行。
恶意宏代码执行后，首先会创建于恶意域的链接，然后下载RACCOON。
图4. 借助网络钓鱼电子邮件传播RACCOON
与恶意软件捆绑在一起
恶意软件通常伪装成合法软件，下载并安装这样的软件，也就会导致RACCOON同时被安装。
RACCOON的核心功能分析
收集受感染计算机的本地设置
图5. RACCOON用于检查受感染计算机本地设置的代码
值得一提的是，RACCOON在检查受感染计算机的本地设置时，会将其与硬编码的语言列表进行对比，如果受感染计算机的语言设置是俄语、乌克兰语、白俄罗斯语、哈萨克语、吉尔吉斯语、亚美尼亚语、塔吉克语或乌兹别克语，那么它则会立即停止运行。
收集用户敏感信息
RACCOON能够使用多种方法来收集用户敏感信息，具体如下：
1.屏幕截图
图6. RACCOON用于进行屏幕截图的代码
为了实现屏幕截图功能，Raccoon会使用到GetDesktopWindow和CreateCompatibleBitmap，并将截图命名为“screen.jpeg”存储到Temp文件夹中。
2.窃取系统信息
Raccoon还会搜集受感染计算机的系统信息，包括用户名、IP地址、语言设置、操作系统版本，以及有关已安装应用程序和CPU、内存等的信息。这些信息将被存储到位于如下位置的文本文件中：
C:\Users\[用户名]\AppData\Local\Temp\machineinfo.txt
图7.Raccoon收集的信息
窃取浏览器信息
众所周知，许多保存到浏览器的数据都存储在本地计算机上的SQLite数据库文件中。例如，当用户在浏览器中保存其用户名和密码时，浏览器就会将数据存储在Login Data SQLite数据库文件中。
此外，浏览器还会将cookie信息存储在cookie文件中，并将其他自动填充数据（如信用卡信息）存储在Web Data文件中。
Raccoon能够从30多款不同的浏览器中窃取这些信息，具体如下：
- Chrome
- Amigo
- RockMelt
- Sputnik
- Chromium
- Orbitum
- 360Browser
- Kometa
- Xpom
- Bromium
- Vivaldi
- uCozMedia
- Comodo
- Nichrome
- Opera
- QIP Surf
- Epic Privacy Browser
- CocCoc
- Suhba
- Chedot
- CentBrowser
- Elements Browser
- Safer Technologies - Secure Browser
- Superbird
- 7Star
- TorBro
- Rafotech - Mustang
- Torch
- Firefox
- WaterFox
- SeaMonkey
- Pale Moon
- GO!
图8.Raccoon用于窃取浏览器数据文件的代码
在窃取到这些文件后，Raccoon会对它们随机命名，然后复制到Temp文件夹中。
随后，它将使用从其C2服务器下载的DLLSQLite3.dll来解析文件并提取敏感数据。被窃取的信息将被分为多个文本文件，并被保存在“Temp/browsers”文件夹下。
此外，Raccoon还会创建了一个名为“passwords.txt”的文件，用于保存从受感染计算机上窃取的所有密码。
图9. passwords.txt示例，其中包含Raccoon窃取的密码
窃取OUTLOOK帐户
图10.Raccoon用于提取有关Microsoft Outlook帐的信息的代码
Raccoon能够从受感染计算机上的注册表项中提取有关Microsoft Outlook帐户的信息，具体注册表项如下：
- HKEY_CURRENT_USER\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts
- HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings
- HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook
另外，Raccoon还会在Windows注册表中搜索存储在电子邮件客户端中的敏感信息，如用户名和密码，然后将其保存到“Temp/mails”文件夹下的文本文件中。
图11.Raccoon用于从电子邮件客户端收集账户信息的代码
窃取加密货币钱包
Raccoon会在受感染计算机上搜索多款加密货币钱包，具体如下：
- C:\Users\<user>\AppData\Roaming\Electrum\wallets
- C:\Users\<user>\AppData\Roaming\Jaxx\Local Storage
- C:\Users\<user>\AppData\Roaming\Exodus\exodus.wallet
- C:\Users\<user>\AppData\Roaming\Ethereum Wallet
只要找到任何一款，它就会将其保存到Temp文件夹下，然后进行自动处理。
数据上传和自我删除
在收集到所有数据之后，Raccoon会将它们打包成一个zip压缩文件（gate.zip），然后上传到C2服务器。
图12. gate.zip所包含的内容
在数据上传完成之后，Raccoon会从受感染计算机中删除其二进制文件——使用ping.exe生成cmd.exe并执行delete命令。
图13.Raccoon创建的恶意进程旨在清除任何可能的痕迹
结论
尽管Raccoon可能并不是暗网交易市场上最具创新性的间谍软件，但它仍对大量不法分子产生了巨大的吸引力，这主要来源于其开发团队铺天盖地的广告，以及给网络犯罪提供的便利。
Raccoon受到热捧的这一事件说明，恶意软件的开发者想要获取非法收益，甚至都不用直接参与犯罪，只需搭建一个平台就足以实现。而另一方面，不法分子想要实施网络犯罪，甚至都不需要掌握太多的技术，仅仅花上几百美元就可以完成这一切。
近年来，尽管多个国家有关当局都针对暗网交易市场加大了打击力度。但事实证明，这条路似乎还十分漫长。