新发现：暗网Crypter服务与Corebot之间的纽带
2015-10-12
我们最近研讨了Corebot恶意软件，它可能是一个出售被盗数据的网站btcshop[.]cc的纽带。
今天，我们已经发现了更多的解决难题所需的资料：两个Corebot样本和一个在线加密服务。
我们一直在检测bctshop[.]cc的基础设施，他的IP地址在波兰-46.29.18[.]240。
最后四个域引起了我们的注意并将揭露犯罪活动。
在线加密服务
Crypter是网络罪犯用来加密他们恶意软件以逃避检测的一款软件。它可以增加恶意软件的一些依附在这个软件上的功能，比如沙箱，虚拟机检测，自动运行创建等等。在我们的观察下，使用者创建一个在线商店，聚集想要加密自己的恶意软件的顾客。它目前是另一种网络犯罪服务的实例。
与此服务相关的域：
cfud[.]biz
apyicrypt[.]com
网络犯罪还创建了暗网版本来确保在Web版本撤下时，他们仍然可以进行操作：
biwvi4oeyo4fflzr[.]onion
图片1.cFUD加密服务的登录页面
账户所在的客户端可以创建一个任务并上传自己的恶意软件到一个位置，在这个位置里恶意软件就会被加密。Crypters等待进入任务，接受工作然后返回完成工作。我们调查了这个服务，观察道一个挂起任务和下载的文件。它原来是一个Corebot样本。
1c5d7f17fb1b1f74b84312f51b0d4258
这个样本产生了50个使用DGA算法（Appendix A）的域。这个样本看起来和我们之前在博客中讨论道的Corebot是相同的。
Corebot传递机制
起初，我们一位域vincenzo-bardelli[.]com是一个可能的Corebot CnC，因为它和另一个已知的Corebot CnC vincenzo-sorelli[.]com是相似的。
火狐浏览器
一旦你使用火狐浏览器登上了vincenzo-bardelli[.]com，你就会被重定向到vincenzo-bardelli[.]com/ffxpi/index.php，你被要求先安装火狐扩展运行的插件来加载网络摄像头。然后就下载了一个名为called ff.xpi ( 2d2ff08dfeec68115e8fd8968abc6072)的插件。
图片二. 使用火狐浏览器接入vincenzo-bardelli[.]com
我们解压文件 ff.zpi，发现它包含了一个名为poc.exe的二进制文件。
(3d6a32b20c66f268b03ec6e8521d6bf3).
该文件3d6a32b20c66f268b03ec6e8521d6bf3是另一个Corebot样本。这个样本指出了 arijoputane[.]com/ldr/client.php?family=bank
图片三. 火狐浏览器上Index.php的源代码页
Chrome浏览器
当我们在Chrome上接入这个域时，行为是不一样的。我们这次没有被重定向到/ffxpi/index.php，而是重定向到了/javadriveby/index.php。它用于检查机器上的Java运行版本，根据检查到的版本再决定是否重定向到google.com或者下载文件177.21.75.140/456/activex.exe。
图片四. Chorme浏览器上Index.php的源代码页
图片五. Chrome浏览器上Index.php的源代码页
IE11浏览器
在IE浏览其中，你被重定向到了 vincenzo-bardelli[.]com/activex/index.php。查看这个页面，它要求你安装一个插件。这个文件activex.exe位于vincenzo-bardelli[.]com/activex/activex.exe。
图片六. IE浏览器上Index.php的源代码页
该文件activex.exe是3d6a32b20c66f268b03ec6e8521d6bf3的副本。
统计来自驱动的感染
对于每个浏览器，一段额外的代码被添加到了网页的底部，来跟踪和统计浏览恶意网页的人。
图片七. 统计数据的index.php源码
图片八. Maltego图像显示域，IP地址和电子邮箱地址之间的联系
结论
以下所有域都有相同的IP地址是不是一个巧合?
一个通过驱动传递的域
一个出售PIIs和Socks代理的在线商店
一个找到corebot样本的在线crypter服务
我们很难确切的知道到底这些东西是如何相互联系的，但是很明显，我们能看出网络罪犯提供了一些基础设施，运行在线的btcshop[.]cc和crypter服务的人相互认识或者说是属于同一团队。
我们的任务是保护在线用户，在来自CERT荷兰的朋友的帮助下，我们能够将在线商店btcshop[.]cc暂停。
Damballa检测到这种威胁并命名为ThreePaperConvicts。
附录A
2015年9月21日使用3d6a32b20c66f268b03ec6e8521d6bf3生成的域。
mvwjg0knary23je.ddns.net 217.160.165[.]207
pkdejexati0o4yje.ddns.net
o4oxqhwfy678y8o.ddns.net
e6a6mjqpapulcfm.ddns.net
3narsbobmjm2oho278opyts.ddns.net
3duboxe0mr3hef7nkxuj3jq.ddns.net
ihifg8u6etwpc0ktorc.ddns.net
q4ydijevkvalgrm4o4a.ddns.net
ypipclqtwtuvkxy.ddns.net
3jkd5papcfibqjwhipy.ddns.net
16qvklkb3b58sfix54kf5lq.ddns.net
qd3vkb38ydk814y0kbg.ddns.net
kdqjqd5ni0inct1fo2ub38w.ddns.net
ex5nah7ponkfq67.ddns.net
m83t7fi27b3ji0qrcxa.ddns.net
klqvut5puxo6wral1xo.ddns.net
wx3nmvo0o03x7pe.ddns.net
q0yfy052w2ihkjox1nsp5n3.ddns.net
yvgxmrurslexuty.ddns.net
ehsni4523ro414k.ddns.net
etsnmxe2gn3hwdq.ddns.net
3tax5vmj3bep18uh5xmr5p5.ddns.net
yt1ng6583vk8av5rwfy.ddns.net
oxy0qt16mfsfm23fgvo.ddns.net
i8y45hqpcxud7pk2qhq.ddns.net
ine2gxw4q4klmju.ddns.net
o8s8i0qt74mjwbi.ddns.net
qtidg8khe4mrwr567na.ddns.net
1rot1ro05p5pc654ktuj74i.ddns.net
wfe23x16e4khat5vgxo0s8s.ddns.net
1vyrexifwt5rqpwvepm.ddns.net
aj18k8kjobwxm6g.ddns.net
qh5datox3r76u8wjqnk.ddns.net
aryfk0e2cpmrynoj1n7b3r5.ddns.net
w6ujkjax343r1t3lq4o.ddns.net
1x1te0o878iponovyja8m87.ddns.net
50cr587t3fur5xy6yvw4kxg.ddns.net
wlytono6mjedgl1ro41pcj7.ddns.net
eb12yjkt58i07ninkt1.ddns.net
qvc8185616g2ivgf54a.ddns.net
70mdqloho0gjmxo6oxih1tg.ddns.net
ub70705hu0enined52s.ddns.net
ap5todifwjspqp78kxs0e8k.ddns.net
srg8sfw2afit1tw.ddns.net
ytq0olsbahc8ujwhuhs6m0a.ddns.net
k2aninsrc0mtqj3.ddns.net
e4w6irqxcj5p78c.ddns.net
e6eti6i4u2wfq83r1nq.ddns.net
qfwd7x38abyje0mrormjyd5.ddns.net
i6shm0u0o2yhopu8ip1d5f3.ddns.net
评论