前沿技术

37期报告汇总
 
安天发布《大灰狼远控利用QQ号上线》报告

 
       “大灰狼”远控是一款不断更新、升级的远控,安天追影小组曾经对“大灰狼”样本进行分析,《安天周观察》曾在第22期和第29期,分别发布《大灰狼远控分析》报告和《大灰狼远控变形DNS分析》报告,提及其具有连接到某个QQ号空间,通过该QQ号上线的行为。近期,研究人员再次披露“大灰狼”远控的另一个匿名上线漏洞,安天追影小组随即进行了分析。
 
       该样本具有释放PE文件到系统目录、自复制为常见系统进程名、自删除、修改注册表、设置自启动、通过CMD隐藏删除自身、创建可疑进程、设置调试器权限、检查摄像头、连接网络和查找杀毒软件相关进程等行为。经追影小组分析发现,连接控制端下载的文件与之前分析的相符,同样名为“NetSyst**.dll”(**为两位随机数字)。
 
       样本行为:
 
       1. 样本首先下载“NetSyst96.dll”到APPPatch中。
       2. 自我复制到系统目录下,并以子进程的方式打开,监测和监视新硬件设备并自动更新设备驱动。
       3. 通过访问“982471559”这一QQ号来上线,在本样本分析过程中,研究人员猜测该QQ号的昵称已改变,不再有效。
 
       除了本次分析的样本,追影小组在对其他威胁事件进行情报收集的过程中,曾捕获到大量以QQ昵称作为上线昵称的样本,一旦访问成功,恶意软件会获取到上线IP,受害主机将受到黑客的远程控制。
       
       “大灰狼”远控有着较长的历史,且有专人负责开发维护,更新迭代较快。其特色为通过QQ昵称找到上线地址,这样的方式有利于快速更新C2,且对避免杀毒软件的查杀有一定的作用,而“免杀”也正是其吸引用户的一个方式。为了避免被此类远控攻击,安天追影小组提醒广大用户加强安全意识,不要随意打开陌生链接,通过官方网站下载正版软件。

 
 
按访问者
政府
运营商
金融
能源
合作伙伴
新闻媒体
求职者
关于我们
公司概况
工作机会
大事记
部分客户
公司荣誉
诚聘英才
常用链接
产品综述
终端侧安全
威胁深度鉴定
引擎类
态势感知
威胁响应
公告与报告
服务与支持
服务与支持
软件升级
售后服务
安全培训服务
安全技术服务