Redline Stealer 木马盗币分析

近日,据慢雾区情报反馈,有不少朋友遭遇钓鱼木马,已经导致数百万美金的损失。

By:爱上平顶山 & 耀

近日,据慢雾区情报反馈,有不少朋友遭遇钓鱼木马,已经导致数百万美金的损失。

据我们了解,这种攻击主要是通过 Discord 邀请用户参与新的游戏项目内测,打着“给予优惠”等幌子,或是通过群内私聊等方式发一个程序让你下载,一般是发送压缩包,解压出来是一个大概 800 M 左右的 exe 文件,一旦你在电脑上运行,它会扫描你电脑上的文件,然后过滤包含 Wallet 等关键词的文件上传到攻击者服务器,达到盗取加密货币的目的。

时间线

最早这类骗局出现在 2022 年 8 月 1 日,以 WinSomeNft 的项目名称出现:

1.png

2022 年 8 月 1 日,以 CthulhuWorldP2E 的项目名称出现:

2.png

(https://twitter.com/Estetshcrypto/status/1561290861652082689)

2022 年 8 月 30 日,再次出现:

3.png

(https://twitter.com/NiqisLucky/status/1564315179466166272)

然后再次以 idlemaster3d 项目名称出现:

官网:https://idlemaster3d.com

DC:https://discord.gg/KFyqCdRRst

4.png

5.png

DC 看起来似乎正常,但怀疑他们是直接 Fork 真 DC 消息过来,以假乱真,里面大量机器人。

6.png

目前该项目改名为 Yoyo Game Ltd(https://twitter.com/YoyoGame_RPG)继续诈骗

分析

推特用户 @BoxMrChen 遇到的情况:

7.png

(https://twitter.com/BoxMrChen/status/1566053823281410050)

他遇到的木马名称是:Master3DRPG_v3.5.3.zip,我们以此木马文件为例分析:

8.png

解压后的文件:Master3DRPG_v3.5.3.exe,大小 749.7 M。正常木马文件不会这么大,所以我们用文本编辑器打开看下:

9.png

填充大量 0000 空文件,导致木马文件巨大,这样可以逃避杀毒软件查杀。

(注:正常在线杀软分析大小 50 M, PC 端杀毒软件能分析的文件大小大概 500 M 左右)

我们直接批量删除所有的 0000 文件,整理出一个 300 KB 左右的真实木马文件:

10.png

虚拟机运行,简单抓个包、监控下进程,看看行为:

11.png

扫描 Wallet 钱包相关信息,并上传到远程 C2 服务器。

发现它以伪装成 Flash Player 更新包程序方式进行控制:

12.png

我们再使用微步在线分析,在 Win7 64 bit 分析网络行为:

13.png

14.png

15.png

该 IP 77.73.134.5 近期关联多个恶意样本,都是针对加密圈用户钓鱼:

16.png

17.png

当时诈骗人员创建 24 个推特账户(包括主账户)进行诈骗推广。

我们再看下木马信息:是 RedLine Stealer 家族木马

18.png

(https://bazaar.abuse.ch/sample/0cf542852fcec699b8c6be230e5b38daa7380479cace60f2a6d3a3fcd357b718/)

RedLine Stealer 家族木马是什么?

RedLine Stealer 是一种恶意木马软件,2020 年 3 月被发现,在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时,会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。 新版本的 RedLine 增加了窃取加密货币的能力,能够自动扫描本地计算机已安装的数字货币钱包信息,并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。

19.png

(https://malpedia.caad.fkie.fraunhofer.de/details/win.redline_stealer)

从下图可以看到,针对加密货币钱包目录、钱包文件进行扫描,目标很明确。

20.png

我们看下他们的官方发布功能:非常齐全的功能,而且价格便宜。

21.png

服务也 SaaS 化:

22.png

选择产品:

23.png

展示每款产品的价格:

24.png

准备付款:

25.png

同意相关协议、付款:

26.png

典型的俄语生态木马:

27.png

我们可以看到还有针对 MetaMask、Wallet 等信息。

窃取程序针对以下钱包和浏览器扩展进行攻击:MetaMask, YoroiWallet, TronLink, NiftyWallet, MathWallet, Coinbase, BinanceChain, BraveWallet, GuardaWallet, EqualWallet, JaxxxLiberty, BitAppWallet, iWallet, Wombat, AtomicWallet, MewCx, GuildWallet, SaturnWallet, RoninWallet。

总结

随着 Web3 兴起,加密货币越来越流行,传统的黑客组织、独狼黑客也瞄准了加密货币行业,他们针对加密货币钱包发起攻击,像 Redline 这样的恶意软件,可以以每月 100 美元的价格轻松提供给犯罪分子,这对加密货币用户产生巨大的威胁。

慢雾在此建议行业从业人员随时关注国内外安全公司安全情报,做好自我排查,提高警惕,运行可执行程序之前,做好必要的安全检查。建议 Windows、Mac 电脑用户务必安装杀毒软件,如卡巴斯基、AVG、360 等,保持安全软件实时防护开启,并随时更新最新病毒库。

在区块链黑暗世界,时刻保持警惕,切勿贪婪捡便宜,个人安全意识永远是安全的第一道防线。

技术扩展阅读:

https://securityscorecard.com/research/detailed-analysis-redline-stealer

https://cyberint.com/blog/research/redline-stealer/

https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md

本文首发于:https://mp.weixin.qq.com/s/MibasyXTwnQsLI_nd_XwBQ

  • 发表于 2022-09-07 16:25
  • 阅读 ( 524 )
  • 学分 ( 0 )
  • 分类:安全

0 条评论

请先 登录 后评论
慢雾科技
慢雾科技

69 篇文章, 74 学分