[原创]浅析:隐藏在游戏外挂中的盗号木马-光明中的黑暗-CatGames
文件名称：
病毒样本.exe
SHA256：
9d2e499ddc4b7a1ed3a288f0bda807b09b5d701936d53b670f61862a06ec57c1
---------------------------------------------------------------------------------------------------------------------
首先在文章开头先@腾讯电脑管家 因为此病毒不管是腾讯电脑管家指定病毒扫描还是直接运行 腾讯电脑管家都不给予报毒和拦截处理（文章中有测试GIF图）
0x00
今日在分析一款游戏辅助的执行流程是发现的一些蹊跷，此款辅助会在C盘写入一个文件，文件LOGO是dota的LOGO经验告诉我 这玩意是有问题
0x01
外挂只有一个执行程序，我在分析的时候发现此款辅助会释放一个EXE
索性我就把它提取出来了 PE DUMP即可 一般这种捆绑的exe都放在Resource里面
所以提取吧
我把提取出来的分为两类
UPX 好家伙 手脱ESP定律等方法 我这里快捷直接使用脱壳机
脱壳完成
我下了一些注册表断点发现这个程序居然点进行直接停止了
个人觉得 要么这个病毒模块的Resource中还有exe,dll 释放到其他进程 要么就是他有反调试
我对于易语言常用的几个反调试的API进行了拦截 都是直接运行程序停止
那么至此 也可以得出结论 这玩意绝对Resource中还有别的东西
果不其然
通过EXEinfo对外挂模块进行提取，发现中间还真有一个dll那么对于这个dll 开搞之前，先看看这个exe是如何把这个dll释放到其他进程的,还是做了其他事情
运行时把自身拷贝到C:\Users\ADMINI~1\AppData\Local\Temp\10412832\TemporaryFile
并把自身后缀修改
运行时修改后缀即可
我们自行加一个后缀.exe
即可看到病毒程序
获取系统中所有运行中的进程和线程快照
CreateToolhelp32Snapshot()获得当前运行进程的快照后，再通过process32First函数获得第一个进程句柄
通过Process32Next获取下一个进程句柄
这里按F9之后 直接停止在此界面 此病毒正在获取我所有的进程快照并通过Process32Next获取下一个进程的句柄
通过这个函数往堆栈的上面找可以看到病毒程序获取的进程信息
继续F9运行
病毒结束
我们回到C:\Users\ADMINI~1\AppData\Local\Temp\10412832\TemporaryFile
找到那个TemporaryFile查看那个病毒拷贝自身的exe
我至此还以为这个病毒有什么新颖的地方
终究依旧是这样 获取QQCookie 然后传回去
这是关于获取Steam进程后 再获取的授权文件
ssfn2这种东西也就是市面上黑号啊 什么的啊那些叫什么91 94授权的东西
写一个文件到steam某目录 然后再登陆黑号 需要登陆的黑号就不再需要邮箱steam令牌等各种验证
可以简单理解为一个身份令牌 有了这个令牌 你的电脑对于steam来说就是可信的
那么也没什么看的 就是正常的获取返回给病毒客户端
为什么我说这个是病毒客户端呢？后面我会找例子说明
0x02
我之前还说过这个病毒模块里面有个dll 那么我们先看看这个dll做了什么
UPX 好家伙 上脱壳机吧
从这个dll字符串来看 基本可以判定是获取steam ssfn文件的一个模块
具体这些东西是什么ssfn等各种steam的问题 请自行研究 。（ps：如出于技术研究是好的，但是盗号等请三思而后行！）
那么我前面说了 为什么我说病毒传回的是客户端呢？ 这就要关系到现在庞大的黑号产业链中萌生的一种新型软件，叫撸号器，顾名思义，盗号就完事了
我找遍了全网很多家专卖外挂的卡盟 终于找到了一家有卖撸号器的（其实卖的很多 只是我运气不好才找到一家）
说白了也就是这些东西
具体撸号器这玩意怎么用的 干嘛的 有啥用 真的能免杀？
我想用一张关系图表示 流程就是这么个流程
0x03
我下载了目前常用的三款杀毒软件
虚拟机安装后挨个测试免杀能力（至少我在微步分析这个的时候 360腾讯并未报毒）
1.首先是腾讯电脑管家(ps:被扫描的病毒是未脱壳的，是为了模拟正常用户使用情况）
我们把病毒放在桌面新建文件夹kill me 用腾讯管家的指定杀毒
腾讯安全管家运行情况
未进行拦截（我会把样本放在文章末尾）
指定病毒扫描结果如下
运行结果如下
3.火绒测试结果如下
指定位置扫描结果
运行结果
至此杀软测试已结束
病毒作者服务器：43.248.186.95
我联系到了服务器提供商的客服
已提交反馈（至于他们处不处理 那就随他们 我能做的都做了：））
什么？还要我报警？？？？我只做分析 其他的关我啥事啊。。。。。不受理我也没办法咯：）
