“亡刃”盗号木马肆虐，360安全大脑强力查杀

近期，360安全大脑截获到一批盗号木马“亡刃”，该木马从2018年12月开始传播，近半年来一直保持着很高的活跃度，感染用户机器达到上万台。

“亡刃”盗号木马伪装成“迅游加速器”，“陌陌语音”，“腾讯免费加速器”，“变声器”等多种小程序通过QQ群进行传播：

在感染用户机器后，木马会盗取用户的Steam账号密码，盗取集结号游戏，辰龙游戏，850游戏插件的配置文件，同时还会记录用户的键盘记录，盗取QQkey等，整体病毒流程如下：

技术分析

病毒运行后，创建下列线程分别执行不同的病毒逻辑：

创建一个线程设置RememberPassword的值为0，使得用户每次登陆游戏都需要输入账号密码：

然后遍历进程，结束正在运行的steam相关进程，强迫用户重新登陆，以执行盗号逻辑：

然后继续遍历进程，当steam.exe进程再次启动时，将资源中的steamHK通过DLL注入的方式注入到steam.exe进程中执行，相关注入逻辑如下：

steamHk.dll通过内联挂钩的方式挂钩vstdlib_s.dll动态库的V_strncpy函数，该函数会在用户输入密码时被steamUI.dll调用，病毒通过hook该函数，拦截用户输入的账号密码等参数。

过滤账号密码的函数如下：

最后将截取到的账号密码保存到Steam安装目录下的A.txt中。

创建一个线程将A.txt中的账号密码，以及ssfn授权文件等发送到http[:]//104.143.94.77/nc/n/getfile1.php：

创建一个线程将资源中的病毒文件server.exe释放到系统目录下执行：

server.exe在内存中解密并加载动态链接库flyboy.dll，并调用其导出函数Host()，代码如下:

热点排行