Oct 26

密保卡的噩梦

09:49
raoshuai

前不久在毒霸强大云查杀的海量收集下,发现了一种新型病毒,该病毒通过搜索特征码的方式找到用户何时输入用户名密码,与此同时遍历窗口找到用户打开密保卡图片的窗口,连同账号密码与密保卡信息一同提交到木马服务器。

所谓密保卡就是游戏公司推出的一项帐号安全保护服务。它是一个记录着10行8列数字的卡片,在执行敏感操作(如在幻想游戏中转让装备、修改QQ密码)时,系统将提示用户输入密保卡三个位置上的数字,全部输入正确才允许继续操作。由于密保卡每次随机选择三个方格中的数字作为临时动态密码,因而,这一动态密码每次都是不同的,盗号木马如果想盗取成功就一定要想办法获取密保卡信息。下面就一起来看看该病毒是怎样绞尽脑汁盗取用户信息的。

图片1


为了实现邪恶目的,这个马必须要安然到达用户的系统中,这时候就必须绕过第一道防线—-安全软件。病毒首先通过在指定范围内查找系统文件代码的方法对抗杀软的虚拟机,使杀软虚拟机执行Int 0 异常,虚拟机跑不出行为,自然就避开了部分杀软的监控。

为了给分析师的静态分析做足干扰,病毒作者不仅使用了变形与加花,还将所有网址,特征码等有用数据进行加密处理。根据解密出的特征码,病毒开始匹配内存数据,如果匹配到则保存地址进行 patch,得到用户账号与密码后病毒作者还会进行简单的核对,类似QQ号码的长度,号码中是否有数字之外的字符等,看来病毒作者也在提升自己的代码质量。

木马千辛万苦坚持到现在,已经实属不易,不过如果木马遇到的是警觉性高的用户可能会面临功亏一篑的危险,因为部分用户为了保护自己的账号密码会使用密保卡等这些高安全级别的密码保护方式。不过这类木马获取用户的密保卡信息会在用户输入密保卡的时候查找Windows图片传真查看器,画图板和ACDSee窗口等图片查看窗口,找到后则遍历进程,通过查找包含特殊字符串的方法得到密码卡所在路径。如果用以上的方法不能定位到图片密保卡文件,木马就会使用截图方式,对整个屏幕进行截屏保存,然后链接黑客服务器,上传盗取的数据。刚好用户没升级的那天遇到此类木马流行,后果可想而知。

图片2


病毒的这种手段对用户的账号信息造成了很大的威胁,建议用户在打开游戏登陆界面之前记录密保卡相关信息,出现登陆框的时候直接输入数据,避免登陆框和密保卡图片同时存在桌面的情况。也可以考虑其他密码保护方式,比如纸介质密保卡,手机Token等。同时开启安全软件的实时升级与文件监控,这样可以更直接更快速的防护新型木马的入侵。


标签:
评论 (78) , 阅读 (27,201)

78 条评论 »

  1. 铁军 说:

    感觉这个木马还是在测试阶段,成功盗号需要的条件还是比较多的。

  2. Mr-Z 说:

    网络真不安全啊。。。

  3. hytk1989 说:

    牛人太多了。。。。

  4. 咕噜 说:

    记得最早在07年时出现过,没想到现在又有改良版本了。都是暴利驱动啊。国家应该加大法律惩处力度。

  5. GOLDEN 说:

    IF WE NEED A SAFE NET,MAYBE WE HAVE A SAFEAPP ALWAYS,IN MY MIND,A LOT OF MUMA SLEEPING NOW,SUNZI BING LAW TOLD ME ,MAYBE KONG CITYS FILM OR SHENG EAST TO ATTACK WEST,HAHA,古人说的好,若要人不知,除非己莫为,发现时早晚的,一群触动才是可怕的,金山或许该换个角度多想问题,不能头痛医头脚痛医脚的,中华的传统就是人不欺负我幼儿园,我就叫她姐姐。。哈哈。。。随便说说,TRUTH,MAYBE

  6. kaiking 说:

    实物秘保卡最有效果。例如打印出来。拍照进手机。网络硬盘内打开。总之本机任何数据都是不可靠的。

  7. kaiking 说:

    无论门多牢固。家里没人。破开就是时间问题了。金山这种工资很低的IT企业是没什么前途的。全世界顶级人才一个价。除非是搞加工业。高中生都能上。那才有地区工资差异。金山的东西就不要用了。又不是免费。根本就不值那个价。至于说保护民族产业。。民族产业不能保护我们。我们保护他们。。凭什么。

  8. 小良_Administrotars 说:

    建议大家的密保卡不要放电脑里面!

  9. uc 说:

    把密保卡图片放在手机上,或者干脆用QQ充值卡附送的密保卡

  10. 我好惨 说:

    我天龙号刚被盗 一毛钱都没了 盗号的太可恶了 应该全到监狱里洗内裤

  11. 那样 说:

    我昨天wow被盗了!就是这样的!

  12. 鄙视你 说:

    应该说这种网络的败类和现实生活中的盗窃是没有什么区别的。即使他知道被警察抓去会受到惩罚,或者被私人抓到了轻则一顿痛打,或许错手就结果了他的性命,我就亲眼看见一个偷别人QQ号码的被人打个半死,即便是这样,无论是盗窃还是网盗(木马)还有人干。我鄙视他们。无论是其间存在着暴利也好,还是他们天生就有这个嗜好和追求。从辨证的理论上讲,有了他们才会更进一步的激化科技的发展,但,为什么偏偏是你用你的丑恶去衬托别人的美丽呢?

  13. 842231041 说:

    我把密保卡放在压缩包里,加个20位的密码(数字,大小写字母,字符)。虽然很麻烦,但很安全

  14. 我不说 说:

    太牛b了,病毒为什么总是无法预防,要等到部分网友受到损失才能发觉。我觉得杀毒软件的开发商是不是要搞一个大的监控网,去网罗那些新生的病毒,以免大部分玩家的损失呢。

  15. gjfgnerdjgfen 说:

    电脑败类!!! 黑客阴山!!!!

  16. 我想说 说:

    我的QQ号30号那天就被这样盗了

    我好惨 说:
    2009年10月31日于9:49 下午
    我天龙号刚被盗 一毛钱都没了 盗号的太可恶了 应该全到监狱里洗内裤

  17. 我想说 说:

    我的QQ号30号那天就被这样盗了

    我好惨 说:

    我天龙号刚被盗 一毛钱都没了 盗号的太可恶了 应该全到监狱里洗内裤

  18. 王凯 说:

    我的DNF就是这么被盗的- -! +12 +13一套15的绝刀 吗B的 气死我了

  19. 贾征 说:

    高论高论,虽然看不明白但一定很有道理!!!!!!!顶你个肺

  20. 说:

    盗号啊~魔鬼啊~

  21. zhou 说:

    我的QQ密码就是这样被盗,刚开始叫我用密保卡。3号晚上用密保卡,4号晚上登陆就告知密码错误

  22. 游客 说:

    用word,excel,在里面弄个表格把密保填上去,不知行不行

  23. bingbing 说:

    那用手机密宝安全吗?

  24. 悲惨的人 说:

    我也是的我DNF号15个角色被洗损失惨重,不玩这游戏了

  25. 头疼的人 说:

    谁做的这病毒~~!!这么阴险!!!!!缺德!!!

  26. 说:

    我的DNF号55剑圣也被盗了 盗的一毛钱也没拉 有米报顶个求用啊

  27. 123456 说:

    看的我连游戏都不敢玩了!!靠!!

  28. 防火墙 说:

    只要防火墙比较牛一般这种烂木马基本上出不了站吧?这种烂木马在2007年就有了啊,现在比较流行?我个人觉得只要安装一个出站监控比较牛的防火墙基本上就可以杜绝这种木马了,不是吗?
    呵呵~!~~金山加油吧,但愿金山网镖能够做到每种木马出站都能拦截,呵呵~~~

  29. JJ是我的 说:

    我 草 我把密保手抄都被盗了 RRRRRRRRRR 不过还好有金山啊 杀了毒

  30. JJ送给你 说:

    唉唉 要是我知道谁做木马 我宰了他

  31. 偶尔飘过的神 说:

    我想啊,要是没木马的话 杀毒软件还能活下去吗?
    为了让企业活下来,强大的杀毒软件是不会出现的,而必须让你持续掏钱,养活他们呢!
    结果,我们成了杀毒软家公司和黑客的爹妈了

    • yulin 说:

      这种情况是不可能出现的,杀软厂商跟黑客是你死我活的斗争,杀软不仅仅是杀毒,也做系统优化方面的业务。如果无毒可杀,就会转向其他与安全有关的业务,这些业务做起来比杀毒轻松多了。
      比如现在有些杀毒能力其实很弱的安全软件,想方设法把自己包装得很厉害,其实在用户系统里干的只是优化系统的工作。

  32. 草 盗 号 说:

    我草死那些盗号的妈!!!!!DNF48J时刷塔爆烈风,第二天就被盗,找腾讯要了3个月还没回来。垃圾游戏!!!!!!!!!!!!!!

  33. 日B 说:

    没人说了吗 ?

  34. 被盗的经验 说:

    本人密报卡放在手机上一样让人盗去,我看出来了,现在根本就没什么安全的,想盗你,你杂防都防不住的!

  35. 华安 说:

    被盗多次!!浪费时间精力。现在就下下象棋斗地主。盗吧盗吧有本事把我电脑卖了。。。。。。。。呵呵

  36. 飘过的云 说:

    我发现金山经常出现一些问题,拦截了病毒杀了病毒,但是重启计算机病毒还在,没有杀掉。
    不知道是什么原因?
    后来我用粉碎机把病毒感染的文件强制粉碎,才没有病毒。

  37. 杀软撵不上木马 说:

    杀软老是跟着木马跑。开金山毒霸被盗多次的说

  38. hehe 说:

    我都被盗几百回了
    !金山咋不管用啊?浪费钱财啊!现在DNF可以上锁!盗不了东西给我买了整包的垫子锁上!背包都满了!仓库都满了!明显的报复!哈哈

  39. yyaiai 说:

    用外挂不可恶 用查看器不可恶 用别人电脑查别人隐私不可恶 最可恶的就是盗号 毁文件的病毒 别的不在意 那些毁文件的 盗号的 应该枪毙~!!-.- 我的号啊 哭 vip7了 就这样没了 这个这个金山应该免费 所有杀软都应该免费 全网络监控 那些造病毒的气死他 还没造出来就把它找出来蹲监狱

  40. sousou 说:

    黑山老妖又出来了啊!

  41. qun 说:

    我说国家队对搞这种事的人抓到枪毙了,看你还搞

  42. 小小 说:

    道高一尺,魔高一丈 杀毒的永远追不上木马

  43. 钉子 说:

    我觉得 我们的金山公司要留住人才中啊 要不然 它的杀毒软件怎么总是不起用呢 有可能就是本公司的人和外面的 病毒相互勾结。。。。。

  44. NB 说:

    我DNF号被刷3次,用了实物密保卡,看谁还敢来

  45. 毒霸发烧友 说:

    我来说两句,大家要保护好电脑,我家的刚买上2天就重装,可是我家的安全没的说,安全系列一堆,可还是一下中了34个毒,金山杀不死,瑞星,江明都有下载包,都杀不死,在这我鄙视那些病毒制造者,这样干有什么用,费神又费力,国家应该对这种人实行死刑,可耻!!!我敢说这里有一个是病毒制造者,还有,如果有人发表评论,后面有只猴子,那就是“猴岛”的人,“猴岛”是一个有后台的外卦制造商和病毒传播着,要封杀他们!!!

  46. 毒霸发烧友 说:

    我来说两句,大家要保护好电脑,我家的刚买上2天就重装,可是我家的安全没的说,安全系列一堆,可还是一下中了34个毒,金山杀不死,瑞星,江明都有下载包,都杀不死,在这我鄙视那些病毒制造者,这样干有什么用,费神又费力,国家应该对这种人实行死刑,可耻!!!我敢说这里发表评论的有一个是病毒制造者,还有,如果有人发表评论,后面有只猴子,那就是“猴岛”的人,“猴岛”是一个有后台的外卦制造商和病毒传播着,要封杀他们!!!

  47. 从来不买号 说:

    被盗号的兄弟们,你们卖过点卡么?买过金币么?用RMB买个装备物品么?
    这些行为是不是打开一条虚拟物品和RMB之间的通道?
    如果没有巨大的经济利益推动盗号为什么要去不懈的做出一个又一个木马,难道一个具有专业编程知识的黑客会去PK,打怪么?还是他刚好和你在一个服务器看上你的装备或者金币??
    在你卖点卡的时候就该想到出来混总要还的–被盗号!

  48. fhd 说:

    感觉这个木马还是在测试阶段,成功盗号需要的条件还是比较多的

  49. 小帅哥 说:

    真是变态啊 我的DNF也天天被洗 该死的病毒 你早晚一天送到派出所里刷马桶!!!!

这篇文章上的评论 RSS feed TrackBack URL

留下评论

新手必读
duba virus alert
订阅我
microsofttranslator
日历