剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

Track-聂风   ·   发表于 2018-06-14 11:16:00   ·   安全动态每天看

导语:360安全中心近期监控到一类虚拟货币类木马非常活跃,该木马不断监控用户的剪贴板内容,判断是否为比特币、以太坊等虚拟货币地址,然后在用户交易的时候将目标地址修改成自己的地址,悄悄实施盗窃,我们将其命名为“剪贴板幽灵”。

一、木马概述

360安全中心近期监控到一类虚拟货币类木马非常活跃,该木马不断监控用户的剪贴板内容,判断是否为比特币、以太坊等虚拟货币地址,然后在用户交易的时候将目标地址修改成自己的地址,悄悄实施盗窃,我们将其命名为“剪贴板幽灵”。该木马通过感染性病毒,木马下载器,垃圾邮件在全球范围传播,国内也有大量用户受到影响。

二、木马分析

我们以样本md5:f73731731b6503dc326bd9222047f18b为例做了分析。

木马入口函数处为循环读取剪贴板数据。

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图1

读取剪贴板函数为:

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图2

判断是否为以太坊地址(ETH),如果是就替换掉剪贴板里面地址。

替换函数为:

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图3

替换地址为:

0x004D3416DA40338fAf9E772388A93fAF5059bFd5

该地址总计有46笔交易:

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图4

最近几次为:

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图5

如果不是以太坊地址(ETH),则检测是否为比特币(BTC)类型的地址(长度在25和40之间并且以1和3开头,满足Base58格式)

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图6

其中有两个比特币地址:

· 1FoSfmjZJFqFSsD2cGXuccM9QMMa28Wrn1

· 19gdjoWaE8i9XPbWoDbixev99MvvXUSNZL

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图7

1Fo开头的地址第一笔交易发生在6月9日,目前有5比交易,目前持有0.089比特币,累计获利超过3000元人民币。该地址目前仍然活跃,最近一次交易发生在6月12日,有0.069比特币入账。

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图8

此类木马,我们在过去一个月的拦截量超过了5万笔,帮助用户挽回损失超过4千万(根据木马平均收益估算)。

三、安全提醒

近期各类窃取用户虚拟货币的木马非常活跃,让人防不胜防。注意保证安全软件的常开以进行防御一旦受诱导而不慎中招,尽快使用安全软件查杀清除木马。

此外,360安全卫士已经专门推出了剪贴板防护功能,能够对木马替换剪贴板中虚拟货币地址的行为进行提示。该功能在设置中心的应用防护中。

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图9

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图10

剪贴板幽灵瞄准虚拟货币,全球大量用户受到影响

图11

如若转载,请注明原文地址: http://www.4hou.com/system/12075.html


打赏我,让我更有动力~

0 Reply   |  Until 2018-6-14 | 1268 View
LoginCan Publish Content
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.