窃取 38 个浏览器凭据的恶意软件 Zaraza

最新推荐文章于 2024-06-22 22:35:04 发布
最新推荐文章于 2024-06-22 22:35:04 发布
阅读量1k 收藏 12
点赞数 19
文章标签： jvm windows 网络安全 安全 学习 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_85027652/article/details/139805052
版权

研究人员发现了一种新的凭据窃取恶意软件，名为 Zaraza。该恶意软件使用 Telegram 作为 C&C 的信道，且 Zaraza 是俄语“感染”的意思。

Zaraza 以大量浏览器为攻击目标，并且在俄语 Telegram 频道中积极宣传。一旦 Zaraza 入侵成功，就会检索失陷主机上的敏感数据并将其通过 Telegram 发送给攻击者。

Zaraza 能够通过 38 个浏览器中窃取用户凭据，包括 Google Chrome、Microsoft Edge、Opera、AVG Browser、Brave 和 Yandex 等。攻击目标包括网上银行、加密货币钱包、电子邮件与其他高价值网站，攻击者会将窃取的凭据用于身份盗用、金融欺诈以及未授权访问等恶意目的。

 

感染链

Zaraza 会从网络浏览器中提取登录凭据并将其保存在文本文件中。此外，Zaraza 还会以 JPG 格式捕获失陷主机的活动窗口截图。所有被窃数据都会被回传给攻击者，供攻击者选择使用。

image.png-143.6kB

Zaraza 感染链

技术分析

Zaraza 是使用 C# 开发的 64 位二进制文件，并且在代码中包含许多俄语。攻击者还将程序的入口点设置为 NULL，很难在调试时停在断点。

image.png-405.2kB

Zaraza 样本文件

执行后 Zaraza 会获取失陷主机的用户名，并在 Temp 目录中使用该名称创建子文件夹。

image.png-65.3kB

文件创建代码

接下来，样本会在子文件夹中创建名为 output.txt 文件。

C:\Users\<用户名>\AppData\Local\Temp\<PC名>\<用户名>\output.txt

Zaraza 会逐一扫描如下 38 个浏览器，提取所有相关的凭据。

image.png-59.8kB

浏览器列表

如下为样本中各个浏览器的用户数据文件夹路径：

image.png-593.7kB

浏览器用户数据文件夹路径

浏览器使用的 SQLite 数据库中包含各种网站的登录信息，字段如下所示：

  • origin_url：网站的主要链接
  • action_url：站点的登录链接
  • username_element：网站上的用户名字段
  • username_value：用于登录的用户名
  • password_element：网站上的密码字段
  • password_value：用于登录的加密密码
  • date_created：数据存储日期
  • times_used：密码被使用的次数
  • blacklisted_by_user：如果永远不应存储密码，则设置为 1

攻击者主要获取 origin_url、username_value 与 password_value。由于密码以加密方式存储，两种不同的加密方法如下所示：

  • 较新版本的浏览器使用 v80 加密算法。首先利用主密钥加密存储用户的 Web 登录密钥，再使用 Windows DPAPI CryptProtectData 进行二次加密。为了识别加密密钥，在字符串的开头插入 DPAPI 再使用 base64 对加密密钥进行编码，保存在用户数据文件夹中。
  • 较旧版本的浏览器使用 Windows DPAPI CryptProtectData 进行加密，加密后的密码存储在数据文件中。

image.png-54.2kB

找回密码

从浏览器中成功提取加密密钥后，攻击者将此数据保存到 output.txt 文件中。

使用 CopyFromScreen() 获取失陷主机的屏幕截图，并将其保存到与 output.txt 相同的文件位置 Screen.jpg。

C:\Users\<用户名>\AppData\Local\Temp\<PC名>\<用户名>\Screen.jpg

攻击者通过 Telegram 频道来传递窃取数据：

image.png-437.1kB

Telegram 通信

网络分析

样本文件回传数据至俄语 Telegram 私人频道，如下所示：

image.png-129.5kB

信道详细信息

Zaraza 样本文件

Zaraza 似乎是商业化的，攻击者在对外销售失陷主机的访问权限。分析 Telegram 频道的过程中，发现样本文件可用选项如下所示：

  • Restart (if keyboard is missing)
  • Help and support
  • Change a language/LANGUAGE
  • Pay by Subscription
  • Create a post
  • Edit post
  • Content plan
  • Reports and statistics
  • Settings
  • Creatives
  • Get a personalized sticker pack

如下为研究人员试图在频道中配置选项，但访问被拒绝。

image.png-220.5kB

Telegram 样本文件

通过分析 HTTPS 流量，发现 Zaraza 回传了包含俄语用户名和账户信息的数据。攻击目标或者攻击者本身，一定与俄语存在某种关联。

image.png-315.2kB

HTTPS 流量

Yara

{meta:malware_name = "Zarazabot"description = "Zarazabot is a credential stealer that is capable of stealing login credentials from web browsers."author = "Uptycs Inc"version = "1"strings:$string_1 = "\\Ya Passman Data" ascii wide$string_2 = "\\Google\\Chrome\\User Data" ascii wide$string_3 = "Microsoft\\Edge\\User Data" ascii wide$string_4 = "BraveSoftware\\Brave-Browser\\User Data" ascii wide$string_5 = "encrypted_key" ascii wide
$string_6 = "FromBase64String" ascii wide$string_7 = "<UploadToTelegram>" ascii wide$string_8 = "DownloadString" ascii wide$string_9 = "CopyFromScreen" ascii wide$string_10 = "\\output.txt" ascii wide$string_11 = "Passwords.txt" ascii wide$string_12 = "\\Screen.jpg" ascii widecondition:all of them}

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

  • 2023届全国高校毕业生预计达到1158万人，就业形势严峻；
  • 国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。 

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

 1.学习路线图 

 攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。 

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。 

 还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取 

网安周星星
关注
  • 19
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Chrome和Edge浏览器成为Zaraza僵尸软件攻击的目标
lavin1614
04-24 87
Zaraza机器人似乎是一个有组织犯罪企业的一部分，威胁行为者可以从一个集中的恶意软件分销商那里购买访问该机器人的权限。研究人员警告称，威胁行为者正在利用Telegram服务器作为他们的指挥与控制(C2)平台，来篡改从目标计算机上泄露的银行登录凭据和加密货币。值得注意的是，苹果公司的Safari和Mozilla基金会的火狐浏览器没有出现在浏览器列表中。研究人员认为，该活动背后的对手与俄罗斯有联系，并补充说，恶意软件的名称(zaraza)从俄语翻译为“感染”一词。然而，Zaraza机器人能够解密这两种格式。
securityvulns.com russian vulnerabilities digest wordpress 漏洞
cnbird's blog
01-10 1136
Dear bugtraq,  Below    is    a    digest    of    vulnerabilities    published    by  http://securityvulns.com/ and believed to be previously unpublished in  English.    All    vulnerabilities    wer
Windows named pipes exploitation
冰封尘想的专栏
06-23 2094
All latest versions of  Microsoft Windows  family  operation  systems  arebased on  Windows NT kernel. This fact has positive impact for both remoteand local security  of  Windows  world. There  are s
ThreadLocal的原理
weixin_54174344的博客
06-22 149
ThreadLocalMap 中使用的 key 为 ThreadLocal 的弱引用，而 value 是强引用。，在垃圾回收的时候，key 会被清理掉，而 value 不会被清理掉。假如我们不做任何措施的话，value 永远无法被 GC 回收，这个时候就可能会产生内存泄露。2ThreadLocal底层是通过ThreadLocalMap实现的，每个Thread对象中存在一个ThreadLocalMap，Map的。当一个共享变量是共享的，但是需要每个线程互不影响，相互隔离，就可以使用ThreadLocal。
JVM专题六：JVM的内存模型
Jeremy程序员
06-22 880
前面我们通过等内容了解到了如何从我们编写的一个.Java 文件最终加载到JVM里的，今天我们就来剖析一下这个Java的‘中介平台’JVM里面到底长成啥样。
JDK与JRE与JVM：它们之间的区别
Muhtar_的博客
06-19 431
Java是一种高级编程语言。Java虚拟机（JVM）是驻留在真实机器（您的计算机）中的虚拟机，JVM的机器语言是字节码。这使得编译器更容易，因为它必须为JVM生成字节代码，而不是为每种类型的机器生成不同的机器代码。如果您不是开发人员，也没有编写java程序，那么您不需要JDK，但仍然需要JRE来运行java程序。JRE包含集成所需的库，如Java数据库连接（JDBC）、Java命名和目录接口（JNDI）、远程方法调用（RMI）等。JDK是JRE的超集，它包含JRE所拥有的一切以及编译器、调试器等开发工具。
Golang三色标记法
weixin_74783792的博客
06-22 412
详细讲述了什么是三色标记法，三色标记法如何在golang并发增量场景下被运用。
C++中的堆和栈内存定义以及区别
2402_85246552的博客
06-15 530
栈的大小在程序编译时确定，通常是有限的（例如，在大多数系统中，栈的大小可能只有几兆字节）。：与栈内存相比，堆内存的访问速度较慢，因为系统需要维护一个复杂的内存管理结构来跟踪哪些内存块是可用的，哪些已经被分配了。综上所述，堆和栈在管理方式、申请方式、生长方向、空间大小、内存利用率、用途和错误处理等方面都存在明显的区别。与栈不同，堆的大小在程序运行时动态确定，并且由程序员负责分配和释放内存（使用。下，栈的大小是固定的（编译时确定），不适合在函数内申请过多的栈空间，否则可能导致程序栈溢出。
【Java面试】二十二、JVM篇（下）：JVM参数调优与排查
llg___的博客
06-19 663
再比如栈大小的设置，一般256KB，用于存放每个线程的栈帧，这个值太大，则从栈可用空间层面限制了最大线程数量，比如设置了512KB，在总内存不变的情况下，线程数量上限就减半。内存泄漏，即一些对象没有被回收，累积导致OOM，表现为运行一段时间后服务宕机，但生产环境不能等服务挂了再修，可选择监控+告警邮件，比如普罗米修斯，让内存占用到一定阈值后，触发告警，此时可选择VisualVM分析。通过查看堆信息的情况，可以大概定位内存溢出是哪行代码出了问题，找到对应的代码，通过阅读上下文的情况，进行修复即可。
运行时数据区
aaaPostcard的博客
06-16 1074
分配完内存之后，jvm将分配的内存空间设置为零值（null），接下来，jvm要对对象的对象头（Object header）进行设置，这一套操作下来，从jvm的角度来看，对象已经创建完成了，但从java的角度来看，对象创建才刚刚开始，所以一般new之后，就会执行方法，即对成员变量进行赋值。操作数栈也被称为操作栈，它是一个先入后出的栈，同局部变量表一样，操作数栈的最大深度也是在编译期间就已经确定了，32位数据类型所占栈的容量为1，64位所占为2，在方法执行的时候，操作数栈的深度不会超过栈的最大深度。
SQLite数据库（数据库和链表双向转换）
dearzhangxp的博客
06-22 566
文章主要介绍了关于SQLite数据库的相关信息，SQLIte数据库被称为嵌入式数据库，更加轻量，然后讲到了数据库的安装方法，数据库的常用命令，以及使用C语言编程操作数据库。文章还提到了数据库的相关API，以及链表和SQLite数据库中的数据双向转换的编程方法。
.net8 blazor auto模式很爽（五）读取sqlite并显示（1）
mrdzhu的博客
06-16 173
为了访问sqlite，我们需要在Nuget中安装Microsoftr的EntityFrameworkCore、EntityFrameworkCore.Sqlite、EntityFrameworkCore.Sqlite.Core。我们在Client的Pages里面增加一个Testtable.razor，里面放一个table用来显示sqlite里面一张表的内容。在SharedLibrary的Models里增加employee。
Jvm针对分代垃圾回收算法配置调优
vbgesab的博客
06-22 479
年轻代大小选择尽可能设大，直到接近系统的最低响应时间限制（根据实际情况选择）。在此种情况下，年轻代收集发生的频率也是最小的。同时，减少到达年老代的对象。尽可能的设置大，可能到达Gbit的程度。因为对响应时间没有要求，垃圾收集可以并行进行，一般适合8CPU以上的应用。年老代大小选择年老代使用并发收集器，所以其大小需要小心设置，一般要考虑并发会话率和会话持续时间等一些参数。如果堆设置小了，可以会造成内存碎片、高回收频率以及应用暂停而使用传统的标记清除方式；如果堆大了，则需要较长的收集时间。
sqlite数据库整体迁移进mysql整个流程并解决中文异常问题
我不喜欢这个世界
06-19 315
紧接着我们把sqlite的sql转换成mysql的sql语句，因为mysql语句和 sqlite的sql有区别，所以我们需要用python实现一个转换脚本。等待数据转存完，就行了。可能会报一个 sqlite_sequence 之类的异常，并不影响数据。这样就转换好了，紧接着进入mysql创建数据库 mydatabase。sqlite轻量数据还行，随着数据量增大，不得不迁移进mysql。去mysql安装目录，执行。会把整个sqlite的数据导出进 dump.sql中。然后输入mysql对应的密码，就行了。
JVM专题二：Java如何进行编译的
Jeremy程序员
06-20 870
通常我们将编程语言分为和，通常高级语言因为其易用性和可移植性而被广泛使用，而低级语言在需要对硬件进行精细控制时非常有用，例如在嵌入式系统编程或操作系统开发中。更接近人类语言，易于阅读和编写，它们提供了抽象层，使得程序员可以不必关注底层硬件细节。Java、C、Python等都是高级语言的例子，它们允许开发者使用高级的语法和结构来编写程序，然后通过编译器或解释器将这些代码转换成机器可以执行的指令。，如机器语言和汇编语言，更接近于计算机硬件。机器语言由一系列二进制代码组成，是计算机可以直接执行的指令。
Mybatis plus：IService接口
游王子的博客
06-22 266
在MybatisPlus框架中，IService接口扮演着重要的角色。作为一个通用的服务接口，IService定义了一系列方法，包括查询、插入、更新、删除等。这些方法的定义使得在服务层进行数据库操作变得更为便捷和高效。
集合进阶:List集合
qq_59076775的博客
06-19 308
在遍历的过程中需要删除元素,请使用迭代器。
轻松重命名Windows用户Users目录下的文件夹名称
yxstars
06-22 510
为避免设置失败，需提前准备好系统还原点以备份恢复系统。
用Visual Studio调试CMake项目并生成Visual Studio工程
最新发布
yxstars
06-22 792
访问CMake官方网站https://cmake.org/download，或通过文末链接下载：在下载页面上，找到并点击“Download”链接以获取最新的稳定版本的CMake。请注意，虽然新版本可能包含更多功能和改进，但使用稳定版本通常更为可靠。参考文章2中提到的版本为3.26.0，但您应该选择最新的稳定版本。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值