九游老哥云
Joao恶意样本 手艺剖析与防护计划
2017-08-25
综述
昨日，ESET的清静研究员发明了一个针对游戏玩家的恶意软件。这个名为“Joao”的恶意软件被发明潜在在第三方的Aeria游戏下载装置包中。该恶意软件会在游戏启动后自行在后台运行并且发送受害者机械的信息给攻击者，包括操作系统，用户名以及该用户的权限信息，与此同时玩家仍然可以正常举行游戏。该恶意软件会继续在受熏染用户的机械上装置其他恶意软件。
相关链接：
http://www.hackread.com/dangerous-new-malware-joao-hits-gamers-worldwide/
Aeria Games
Aeria Games，以前称为Aeria Games and Entertainment，是一家在线游戏刊行商。 公司总部位于德国柏林。
Aeria Games是ProSiebenSat.1 Media的子公司，为大型多人在线游戏运营了一个互联网游戏门户。 它专注于多种名堂的网络游戏，客户端游戏，浏览器游戏和手机游戏。 它出书北美，南美和欧洲的游戏。
撒播与熏染
“Joao”恶意软件通过在非官方网站上提供的黑客Aeria游戏，用户在上面下载从而实现撒播。
样天职析
剖析情形
|
系统 |
Windows 7 32bit |
|
使用工具 |
ProcessMonitor Xuetr Wireshark OllyDBG IDA |
TAC检测效果：
图 TAC检测效果
主要功效
[1]信息窃�。呵匀∨趟慊�，操作系统版本和用户权限信息。
[2]网络行为：毗连104.18.48.240发送get请求，其中value字段是加密后的用户信息
http://www.apexserver.ws/index.php?route=anticheat&op=validatekey&cid=7&ver=4&value=c9LKpz30qO2-L4mZUktTzhQiySiSOfhzxdwusZP4GCXiQGWr96-7R22jHFA_lny5FtUMlbSI6tiiGCtl5_UuVe0SG-ft8VmlXMa
该恶意样本首先网络本机信息，包括：装备名，用户名，操作系统版本和用户权限品级。
然后对以上信息举行加密编码，从自身数据中解密出url，将加密编码后的本机信息添加在url的value字段中。毗连远程服务器并发送get请求。
该url已无法会见，返回Error 522页面。由于无法从服务器下载到数据，样本没有进一步的恶意行为。
关联样天职析
通过搜索对该样本的关联样本举行搜索，我们找到了一个joao的组件举行了简朴剖析。该组件也是一个下载器，主要功效是下载一个pe文件并注入自死后执行。
该组件会循环实验毗连ip为95.170.86.186、146.185.136.11、185.35.77.17的53、18000、80、443、8000、25、21、3389、445端口。直至毗连乐成。
毗连乐成先商定要上传文件的巨细，然后最先吸收数据，对吸收到的数据举行结构判断其为pe文件后，在自身历程申请空间举行注入，最后挪用CreateRemoteThread举行执行。
网络特征
1.向104.18.48.240发送get请求。其中host字段的值为域名www.apexcontrol.ws。
2.关联样本网络特征，实验从以下ip下载恶意代码：95.170.86.186、146.185.136.11、185.35.77.17。
攻击定位
检测要领
用户自我防护
1. 用户应该从官方的网站举行下载操作，阻止通过第三方网站，以防下载到挂马软件 ；
2. 用户可以监测GET请求中包括www.apexcontrol.ws域名的host字段 ；
3. 装置杀毒软件，避免恶意软件的熏染和破损。
九游老哥科技木马专杀解决计划
1) 短期服务：九游老哥科技工程师现场木马后门整理服务（人工服务+IPS +TAC）。确保第一时间消除网络内相关危害点，控制事务影响规模，提供事务剖析报告。
2) 中期服务：提供3-6个月的危害监控与巡检服务（IPS+TAC+人工服务）。恒久对此恶意样本举行检测，� ；た突低城寰�。
3) 恒久服务：基于行业营业危害解决计划（威胁情报+攻击溯源+专业清静服务）
总结
样本通过在非官方网站上提供的黑客Aeria游戏，用户在上面下载从而实现撒播。用户需要确认装置的游戏程序是否包括了特另外dll文件，尤其是名为 “mskdbe.dll”的文件，并对着实时整理。
附录
以下危害指标（IOC）与Joao有关：
