黑客溯源：“领跑吧”广告木马追踪 -
| 关注黑客与极客
黑客溯源：“领跑吧”广告木马追踪
共184669人围观
，发现 14 个不明物体
0×00 概要
近期安天追影团队通过追影监控平台发现黑客以各种手段传播广告获利木马，受害主机感染木马后，会自动访问“领跑网吧广告传媒（域名为）”的计费广告链接，该公司的业务是广告传媒、浏览首页、开机广告等，领跑按照推广流量分给下家收益，其中一个广告样本还具有Rootkit隐藏功能。通过追踪发现放马服务器和域名注册地都在山东。
0×01 样本分析
一、广告母体释放nvsvc.exe的分析
MD5：b07f778a215e2c88a9c2b5ea26a178bb
其主要功能是创建互斥量、请求广告计费，下载广告安装包，设置IE主页等。
1.创建互斥量 GlobalLPSYNCG
2.向领跑吧发送计费统计ID
与目的IP进行HTTP通信，发送GET信息。从通信内容可以得知，是向带UID = 2BA29的URL发起请求。该UID为目的领跑客户端推荐人的UID。该通信行为是告诉这台机器是UID为2BA29的用户，其访问的流量计入其UID名下。
目的IP收到首包后，回复一个HTTP包，如下图所示。先回复200 OK，表示请求成功。后又跟着以文本为单位的数据，其中含有一个下载地址DownloadUrl = /Phoenix/.zip，为领跑客户端的组件下载地址。
设置IE的首页“/index.html”，即为图4.2.2中设置“搜狗浏览器”为主页的付费广告链接，该链接被有效访每1000次，该链接的所有者会得到20元的收益
二、广告母体释放
??MD5：cd80e11e86a88f27ffe1a9f
??其主要功能是创建HideSys.sys并写入相应的PE信息，然后创建相应的服务EProcess、如下图所示：
&使用Atool或者Xutr等工具均可查看到隐藏的广告木马进程。
0×02 网络架构
最早可以追溯到2014年6月，放马站主要的IP地址如下：
221.215.123.*
60.209.124.*
221.215.160.*
119.167.*.*
124.129.3.*
124.129.149.*
放马服务器所在山东近期活跃记录。
uup.chao*.net域名注册地址
邮箱：li***@
注册时间：
过期时间：
所有者位置：山东省青岛市城阳区正阳路491号
0×03 总结
广告类木马以利益为趋势，随着广告联盟推波助澜，不断变更技术，增强对抗能力，包括利用最新公布的漏洞进行传播，利用Rootkit技术隐藏自身，广告类木马一个典型特征是获利资金链条相对清晰，可以利用计费ID去追踪受益者。
*作者：安天追影团队，转载请注明来自FreeBuf黑客与极客（）
核和合赫赫核喝
北京的老被查。深圳的老被日。香港老加钱。海外买不起。好不容易有个青岛的。还被曝光了。
好不容易挣个广告费还被你曝光，要知道比那些靠贩卖信息赚钱的文明多了！
必须您当前尚未登录。
必须（保密）
安天追影官方账号
关注我们 分享每日精选文章比特客户端
您的位置：
详解大数据
详解大数据
详解大数据
详解大数据
黑客溯源：“领跑吧”广告木马追踪
　　0×00 概要
　　近期安天追影团队通过追影监控平台发现以各种手段传播广告获利，受害主机感染木马后，会自动访问“领跑网吧广告传媒(为)”的计费广告链接，该公司的业务是广告传媒、浏览首页、开机广告等，领跑按照推广流量分给下家收益，其中一个广告样本还具有Rootkit隐藏功能。通过追踪发现放马和域名注册地都在山东。
　　0×01 样本分析
　　一、广告母体释放nvsvc.exe的分析
　　MD5：b07f778a215e2c88a9c2b5ea26a178bb
　　其主要功能是创建互斥量、请求广告计费，下载广告安装包，设置IE主页等。
　　1.创建互斥量 GlobalLPSYNCG
　　2.向领跑吧发送计费统计ID
　　与目的IP进行HTTP，发送GET。从通信内容可以得知，是向带UID = 2BA29的URL发起请求。该UID为目的领跑客户端推荐人的UID。该通信行为是告诉这台机器是UID为2BA29的用户，其访问的流量计入其UID名下。
　　目的IP收到首包后，回复一个HTTP包，如下图所示。先回复200 OK，表示请求成功。后又跟着以文本为单位的，其中含有一个下载地址DownloadUrl = /Phoenix/.zip，为领跑客户端的组件下载地址。
　　设置IE的首页“/index.html”，即为图4.2.2中设置“”为主页的付费广告链接，该链接被有效访每1000次，该链接的所有者会得到20元的收益
　　二、广告母体释放
　　‍‍MD5：cd80e11e86a88f27ffe1a9f
　　‍‍其主要功能是创建HideSys.sys并写入相应的PE信息，然后创建相应的服务EProcess、如下图所示：
　　使用Atool或者Xutr等工具均可查看到隐藏的广告木马进程。
　　0×02架构
　　最早可以追溯到2014年6月，放马站主要的IP地址如下：
　　221.215.123.*60.209.124.*221.215.160.*119.167.*.*124.129.3.*124.129.149.*放马服务器所在山东近期活跃记录。
　　uup.chao*.net域名注册地址
　　邮箱：li***@
　　注册时间：
　　过期时间：
　　所有者位置：山东省青岛市城阳区正阳路491号
　　0×03 总结
　　广告类木马以利益为趋势，随着广告联盟推波助澜，不断变更技术，增强对抗能力，包括利用最新公布的漏洞进行传播，利用Rootkit技术隐藏自身，广告类木马一个典型特征是获利资金链条相对清晰，可以利用计费ID去追踪受益者。
　　*作者：安天追影团队，转载请注明来自FreeBuf黑客与极客()
相关文章：
[ 责任编辑：小石潭记 ]
去年，手机江湖里的竞争格局还是…
甲骨文的云战略已经完成第一阶段…
软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯，最新的软件技巧，最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中，与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊！
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧，帮助网管答疑解惑，成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一，主要关注x86服务器，RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析，让您第一时间了解服务器行业的趋势。
比特存储周刊长期以来，为读者提供企业存储领域高质量的原创内容，及时、全面的资讯、技术、方案以及案例文章，力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
比特安全周刊通过专业的信息安全内容建设，为企业级用户打造最具商业价值的信息沟通平台，并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比，比特安全周刊运作模式更加独立，对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事，为企业级用户打造重点突出，可读性强，商业价值高的信息共享平台；同时为互联网、IT业界及通信厂商提供一条精准快捷，渗透力强，覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展，全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托，汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台，并持续提供丰富的资讯和服务，探讨信息化建设，推动中国信息化发展引领CIO未来职业发展。
IT专家新闻邮件长期以来，以定向、分众、整合的商业模式，为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容，包括IT新闻、评论、专家答疑、技巧和白皮书。此外，IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊是一份IT人的技术娱乐周刊，给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍，同时用户还能参与我们推荐的互动游戏，给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。
微信扫一扫
关注Chinabyte}