暗夜小偷:Redline Stealer 木马盗币分析
2022-9-6 17:42:39 Author: 慢雾科技(查看原文) 阅读量:19 收藏

By:爱上平顶山 & 耀

近日,据慢雾区情报反馈,有不少朋友遭遇钓鱼木马,已经导致数百万美金的损失。

据我们了解,这种攻击主要是通过 Discord 邀请用户参与新的游戏项目内测,打着“给予优惠等幌子,或是通过群内私聊等方式发一个程序让你下载,一般是发送压缩包,解压出来是一个大概 800 M 左右的 exe 文件,一旦你在电脑上运行,它会扫描你电脑上的文件,然后过滤包含 Wallet 等关键词的文件上传到攻击者服务器,达到盗取加密货币的目的。

时间线

最早这类骗局出现在 2022 年 8 月 1 日,以 WinSomeNft 的项目名称出现:

2022 年 8 月 1 日,以 CthulhuWorldP2E 的项目名称出现:

(https://twitter.com/Estetshcrypto/status/1561290861652082689)

2022 年 8 月 30 日,再次出现:

(https://twitter.com/NiqisLucky/status/1564315179466166272)

然后再次以 idlemaster3d 项目名称出现:

官网:https://idlemaster3d.com

DC:https://discord.gg/KFyqCdRRst

DC 看起来似乎正常,但怀疑他们是直接 Fork 真 DC 消息过来,以假乱真,里面大量机器人。

目前该项目改名为 Yoyo Game Ltd(https://twitter.com/YoyoGame_RPG继续诈骗。

分析

推特用户 @BoxMrChen 遇到的情况:

(https://twitter.com/BoxMrChen/status/1566053823281410050)

他遇到的木马名称是:Master3DRPG_v3.5.3.zip,我们以此木马文件为例分析:

解压后的文件:Master3DRPG_v3.5.3.exe,大小 749.7 M。正常木马文件不会这么大,所以我们用文本编辑器打开看下:

填充大量 0000 空文件,导致木马文件巨大,这样可以逃避杀毒软件查杀。

(注:正常在线杀软分析大小 50 M, PC 端杀毒软件能分析的文件大小大概 500 M 左右

我们直接批量删除所有的 0000 文件,整理出一个 300 KB 左右的真实木马文件:

虚拟机运行,简单抓个包、监控下进程,看看行为:

扫描 Wallet 钱包相关信息,并上传到远程 C2 服务器。

发现它以伪装成 Falsh Palyer 更新包程序方式进行控制:

我们再使用微步在线分析,在 Win7 64 bit 分析网络行为:

该 IP 77.73.134.5 近期关联多个恶意样本,都是针对加密圈用户钓鱼:

当时诈骗人员创建 24 个推特账户(包括主账户)进行诈骗推广。

我们再看下木马信息:是 RedLine Stealer 家族木马

(https://bazaar.abuse.ch/sample/0cf542852fcec699b8c6be230e5b38daa7380479cace60f2a6d3a3fcd357b718/)

RedLine Stealer 家族木马是什么?

RedLine Stealer 是一种恶意木马软件,2020 年 3 月被发现,在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时,会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。 新版本的 RedLine 增加了窃取加密货币的能力,能够自动扫描本地计算机已安装的数字货币钱包信息,并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。

(https://malpedia.caad.fkie.fraunhofer.de/details/win.redline_stealer)

从下图可以看到,针对加密货币钱包目录、钱包文件进行扫描,目标很明确。

我们看下他们的官方发布功能:非常齐全的功能,而且价格便宜。

服务也 SaaS 化:

选择产品:

展示每款产品的价格:

准备付款:

同意相关协议、付款:

典型的俄语生木马:

我们可以看到还有针对 MetaMask、Wallet 等信息。

窃取程序针对以下钱包和浏览器扩展进行攻击:MetaMask, YoroiWallet, TronLink, NiftyWallet, MathWallet, Coinbase, BinanceChain, BraveWallet, GuardaWallet, EqualWallet, JaxxxLiberty, BitAppWallet, iWallet, Wombat, AtomicWallet, MewCx, GuildWallet, SaturnWallet, RoninWallet。

总结

随着 Web3 兴起,加密货币越来越流行,传统的黑客组织、独狼黑客也瞄准了加密货币行业,他们针对加密货币钱包发起攻击,像 Redline 这样的恶意软件,可以以每月 100 美元的价格轻松提供给犯罪分子,这对加密货币用户产生巨大的威胁。 

慢雾在此建议行业从业人员随时关注国内外安全公司安全情报,做好自我排查,提高警惕,运行可执行程序之前,做好必要的安全检查。建议 Windows、Mac 电脑用户务必安装杀毒软件,如卡巴斯基、AVG、360 等,保持安全软件实时防护开启,并随时更新最新病毒库。

在区块链黑暗世界,时刻保持警惕,切勿贪婪捡便宜,个人安全意识永远是安全的第一道防线。

技术扩展阅读:

https://securityscorecard.com/research/detailed-analysis-redline-stealer

https://cyberint.com/blog/research/redline-stealer/

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md

往期回顾

“零元购” NFT 钓鱼分析

引介|EVM 深入探讨-Part 1

Celer Network cBridge 跨链桥事故真相:BGP 劫持

报告解读之 Ronin Network 安全事件及反洗钱分析

慢雾:Solana 公链大规模盗币事件的分析(续)

慢雾导航

慢雾科技官网

https://www.slowmist.com/

慢雾区官网

https://slowmist.io/

慢雾 GitHub

https://github.com/slowmist

Telegram

https://t.me/slowmistteam

Twitter

https://twitter.com/@slowmist_team

Medium

https://medium.com/@slowmist

知识星球

https://t.zsxq.com/Q3zNvvF


文章来源: http://mp.weixin.qq.com/s?__biz=MzU4ODQ3NTM2OA==&mid=2247496292&idx=1&sn=ffbcd901857403e0a3b4c384644569e0&chksm=fdde8ce3caa905f5777d57bba9a5b881bfbf20bc93931c9d087238b76ed24a5a603559ea371c#rd
如有侵权请联系:admin#unsafe.sh