查看原文
其他

暗夜小偷:Redline Stealer 木马盗币分析

慢雾安全团队 慢雾科技 2022-09-06

By:爱上平顶山 & 耀


近日,据慢雾区情报反馈,有不少朋友遭遇钓鱼木马,已经导致数百万美金的损失。


据我们了解,这种攻击主要是通过 Discord 邀请用户参与新的游戏项目内测,打着“给予优惠”等幌子,或是通过群内私聊等方式发一个程序让你下载,一般是发送压缩包,解压出来是一个大概 800 M 左右的 exe 文件,一旦你在电脑上运行,它会扫描你电脑上的文件,然后过滤包含 Wallet 等关键词的文件上传到攻击者服务器,达到盗取加密货币的目的。


时间线


最早这类骗局出现在 2022 年 8 月 1 日,以 WinSomeNft 的项目名称出现:



2022 年 8 月 1 日,以 CthulhuWorldP2E 的项目名称出现:


(https://twitter.com/Estetshcrypto/status/1561290861652082689)


2022 年 8 月 30 日,再次出现:


(https://twitter.com/NiqisLucky/status/1564315179466166272)

然后再次以 idlemaster3d 项目名称出现:

官网:https://idlemaster3d.com

DC:https://discord.gg/KFyqCdRRst




DC 看起来似乎正常,但怀疑他们是直接 Fork 真 DC 消息过来,以假乱真,里面大量机器人。



目前该项目改名为 Yoyo Game Ltd(https://twitter.com/YoyoGame_RPG)继续诈骗。


分析


推特用户 @BoxMrChen 遇到的情况:


(https://twitter.com/BoxMrChen/status/1566053823281410050)


他遇到的木马名称是:Master3DRPG_v3.5.3.zip,我们以此木马文件为例分析:



解压后的文件:Master3DRPG_v3.5.3.exe,大小 749.7 M。正常木马文件不会这么大,所以我们用文本编辑器打开看下:



填充大量 0000 空文件,导致木马文件巨大,这样可以逃避杀毒软件查杀。

(注:正常在线杀软分析大小 50 M, PC 端杀毒软件能分析的文件大小大概 500 M 左右


我们直接批量删除所有的 0000 文件,整理出一个 300 KB 左右的真实木马文件:



虚拟机运行,简单抓个包、监控下进程,看看行为:



扫描 Wallet 钱包相关信息,并上传到远程 C2 服务器。


发现它以伪装成 Flash Player 更新包程序方式进行控制:



我们再使用微步在线分析,在 Win7 64 bit 分析网络行为:





该 IP 77.73.134.5 近期关联多个恶意样本,都是针对加密圈用户钓鱼:



当时诈骗人员创建 24 个推特账户(包括主账户)进行诈骗推广。

我们再看下木马信息:是 RedLine Stealer 家族木马


(https://bazaar.abuse.ch/sample/0cf542852fcec699b8c6be230e5b38daa7380479cace60f2a6d3a3fcd357b718/)


RedLine Stealer 家族木马是什么?


RedLine Stealer 是一种恶意木马软件,2020 年 3 月被发现,在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时,会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。 新版本的 RedLine 增加了窃取加密货币的能力,能够自动扫描本地计算机已安装的数字货币钱包信息,并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。


(https://malpedia.caad.fkie.fraunhofer.de/details/win.redline_stealer)


从下图可以看到,针对加密货币钱包目录、钱包文件进行扫描,目标很明确。



我们看下他们的官方发布功能:非常齐全的功能,而且价格便宜。



服务也 SaaS 化:



选择产品:


展示每款产品的价格:



准备付款:



同意相关协议、付款:



典型的俄语生态木马:



我们可以看到还有针对 MetaMask、Wallet 等信息。


窃取程序针对以下钱包和浏览器扩展进行攻击:MetaMask, YoroiWallet, TronLink, NiftyWallet, MathWallet, Coinbase, BinanceChain, BraveWallet, GuardaWallet, EqualWallet, JaxxxLiberty, BitAppWallet, iWallet, Wombat, AtomicWallet, MewCx, GuildWallet, SaturnWallet, RoninWallet。


总结


随着 Web3 兴起,加密货币越来越流行,传统的黑客组织、独狼黑客也瞄准了加密货币行业,他们针对加密货币钱包发起攻击,像 Redline 这样的恶意软件,可以以每月 100 美元的价格轻松提供给犯罪分子,这对加密货币用户产生巨大的威胁。 


慢雾在此建议行业从业人员随时关注国内外安全公司安全情报,做好自我排查,提高警惕,运行可执行程序之前,做好必要的安全检查。建议 Windows、Mac 电脑用户务必安装杀毒软件,如卡巴斯基、AVG、360 等,保持安全软件实时防护开启,并随时更新最新病毒库。


在区块链黑暗世界,时刻保持警惕,切勿贪婪捡便宜,个人安全意识永远是安全的第一道防线。

技术扩展阅读:

https://securityscorecard.com/research/detailed-analysis-redline-stealer

https://cyberint.com/blog/research/redline-stealer/

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md


往期回顾

“零元购” NFT 钓鱼分析

引介|EVM 深入探讨-Part 1

Celer Network cBridge 跨链桥事故真相:BGP 劫持

报告解读之 Ronin Network 安全事件及反洗钱分析

慢雾:Solana 公链大规模盗币事件的分析(续)

慢雾导航


慢雾科技官网

https://www.slowmist.com/


慢雾区官网

https://slowmist.io/


慢雾 GitHub

https://github.com/slowmist


Telegram

https://t.me/slowmistteam


Twitter

https://twitter.com/@slowmist_team


Medium

https://medium.com/@slowmist


知识星球

https://t.zsxq.com/Q3zNvvF


您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存