Joao恶意样本 技术分析与防护方案
2017-08-25
综述
昨日，ESET的安全研究员发现了一个针对游戏玩家的恶意软件。这个名为“Joao”的恶意软件被发现潜伏在第三方的Aeria游戏下载安装包中。该恶意软件会在游戏启动后自行在后台运行并且发送受害者机器的信息给攻击者，包括操作系统，用户名以及该用户的权限信息，与此同时玩家仍然可以正常进行游戏。该恶意软件会继续在受感染用户的机器上安装其他恶意软件。
相关链接：
http://www.hackread.com/dangerous-new-malware-joao-hits-gamers-worldwide/
Aeria Games
Aeria Games，以前称为Aeria Games and Entertainment，是一家在线游戏发行商。 公司总部位于德国柏林。
Aeria Games是ProSiebenSat.1 Media的子公司，为大型多人在线游戏运营了一个互联网游戏门户。 它专注于多种格式的网络游戏，客户端游戏，浏览器游戏和手机游戏。 它出版北美，南美和欧洲的游戏。
传播与感染
“Joao”恶意软件通过在非官方网站上提供的黑客Aeria游戏，用户在上面下载从而实现传播。
样本分析
分析环境
|
系统 |
Windows 7 32bit |
|
使用工具 |
ProcessMonitor Xuetr Wireshark OllyDBG IDA |
TAC检测结果：
图 TAC检测结果
主要功能
[1]信息窃取：窃取计算机名，操作系统版本和用户权限信息。
[2]网络行为：连接104.18.48.240发送get请求，其中value字段是加密后的用户信息
http://www.apexserver.ws/index.php?route=anticheat&op=validatekey&cid=7&ver=4&value=c9LKpz30qO2-L4mZUktTzhQiySiSOfhzxdwusZP4GCXiQGWr96-7R22jHFA_lny5FtUMlbSI6tiiGCtl5_UuVe0SG-ft8VmlXMa
该恶意样本首先收集本机信息，包括：设备名，用户名，操作系统版本和用户权限等级。
然后对以上信息进行加密编码，从自身数据中解密出url，将加密编码后的本机信息添加在url的value字段中。连接远程服务器并发送get请求。
该url已无法访问，返回Error 522页面。由于无法从服务器下载到数据，样本没有进一步的恶意行为。
关联样本分析
通过搜索对该样本的关联样本进行搜索，我们找到了一个joao的组件进行了简单分析。该组件也是一个下载器，主要功能是下载一个pe文件并注入自身后执行。
该组件会循环尝试连接ip为95.170.86.186、146.185.136.11、185.35.77.17的53、18000、80、443、8000、25、21、3389、445端口。直至连接成功。
连接成功先商定要上传文件的大小，然后开始接收数据，对接收到的数据进行结构判断其为pe文件后，在自身进程申请空间进行注入，最后调用CreateRemoteThread进行执行。
网络特征
1.向104.18.48.240发送get请求。其中host字段的值为域名www.apexcontrol.ws。
2.关联样本网络特征，尝试从以下ip下载恶意代码：95.170.86.186、146.185.136.11、185.35.77.17。
攻击定位
检测方法
用户自我防护
1. 用户应该从官方的网站进行下载操作，避免通过第三方网站，以防下载到挂马软件；
2. 用户可以监测GET请求中包含www.apexcontrol.ws域名的host字段；
3. 安装杀毒软件，防止恶意软件的感染和破坏。
香港正版挂牌木马专杀解决方案
1) 短期服务：香港正版挂牌工程师现场木马后门清理服务（人工服务+IPS +TAC）。确保第一时间消除网络内相关风险点，控制事件影响范围，提供事件分析报告。
2) 中期服务：提供3-6个月的风险监控与巡检服务（IPS+TAC+人工服务）。长期对此恶意样本进行检测，保护客户系统安全。
3) 长期服务：基于行业业务风险解决方案（威胁情报+攻击溯源+专业安全服务）
总结
样本通过在非官方网站上提供的黑客Aeria游戏，用户在上面下载从而实现传播。用户需要确认安装的游戏程序是否包含了额外的dll文件，尤其是名为 “mskdbe.dll”的文件，并对其及时清理。
附录
以下危害指标（IOC）与Joao有关：
