Home Sign Up Sign In
c0878

黑暗幽灵（ DCM）木马详细分析

  •   
  •   c0878 · Apr 15, 2016 · 14384 views
    This topic created in 3861 days ago, the information mentioned may be changed or developed.

    http://www.freebuf.com/articles/system/101447.html

    看完背后发凉 妈的这就是中国的棱镜门啊

  • dcm
  • 棱镜
  • 幽灵
  • 木马
    74 replies  •  2016-05-15 15:02:36 +08:00
    21grams
    21grams
    Apr 15, 2016
    1
    企鹅药丸
    yksoft1
    yksoft1
    Apr 15, 2016
    2
    这个木马其他地方都很正常，问题就在于这个通信方式需要在用户可控范围之外做手脚才能实现。
    xmoiduts
    xmoiduts
    Apr 15, 2016 via Android
    3
    所以说 120.52.72.0/15 等设备是一盘大棋呀
    Mutoo
    Mutoo
    Apr 15, 2016
    4
    针对特定人群的 GOV 马
    Jankst
    Jankst
    Apr 15, 2016
    5
    这这这。。。太可怕了 。。这玩意儿难不成真是 GOV 搞的？只是我大企鹅怎么有勇气给拦截了，然后还给出这样一个详细的分析报告？
    c0878
    c0878
    OP
    Apr 15, 2016
    6
    可推断墙不止是在出口有部署 全国城域网内应该也有相关设备收集数据
    46fo
    46fo
    Apr 15, 2016
    7
    不止 gov 劫持到关键节点的黑客也可以这么玩吧
    panlilu
    panlilu
    Apr 15, 2016
    8
    大写的服气
    ProfFan
    ProfFan
    Apr 15, 2016
    9
    @c0878 不用推断就是
    lhbc
    lhbc
    Apr 15, 2016
    10
    下一版 QQ 电脑管家更新日志：修复能查杀 DCM 木马的 bug
    c0878
    c0878
    OP
    Apr 15, 2016❤️1
    11
    @xdeng 真黑到这个份上被抓到就是吃牢房的份 黑客为财 不会做这种高风险的事情
    venster
    venster
    Apr 15, 2016
    12
    我觉的这个似乎是有针对性的对某个跨国公司采取的商业行为吧？
    oldcai
    oldcai
    PRO
    Apr 15, 2016❤️1
    13
    我刚还想，以后得找个冷门点的杀软了，结果一看列表， 43 个，只有想不到的，没有过不掉的。

    感觉这才是国家级的项目的水平，什么 12306 简直不算。

    感觉又有希望了，祖国欣欣向荣。
    inoricho
    inoricho
    Apr 15, 2016
    14
    头一次对企鹅这么服过。
    mc468ma
    mc468ma
    Apr 15, 2016 via Android
    15
    有人评论，电脑管家不懂事π_π
    Phariel
    Phariel
    Apr 15, 2016 via iPhone
    16
    PR 懵逼了 鹅厂药丸 doge
    KenGe
    KenGe
    Apr 15, 2016
    17
    马化腾这搞过头了啊
    VmuTargh
    VmuTargh
    Apr 15, 2016
    18
    用 F-PROT
    fengxiang
    fengxiang
    Apr 15, 2016 via Android
    19
    这一定是美帝的阴毛。('・ω・')
    gimp
    gimp
    Apr 15, 2016
    20
    服！
    vtea
    vtea
    Apr 15, 2016 via iPhone
    21
    我想知道怎么才能检查自己中没中招
    kkhaike
    kkhaike
    Apr 15, 2016
    22
    哪里有样本。。学习下
    percentsfg
    percentsfg
    Apr 15, 2016
    23
    这防不胜防啊，另外这木马功能怎么这么奇怪。
    momou
    momou
    Apr 15, 2016
    24
    谍战大片啊。。。
    shutongxinq
    shutongxinq
    Apr 15, 2016
    25
    卧槽这个也太强了。针对 Gmail 和向 baidu ， 163 通过发 dns 包通讯...只能说是天朝

    马，简称天马


    .-' _..`.
    / .'_.'.'
    | .' (.)`.
    ;' ,_ `.
    .--.__________.' ; `.;-'
    | ./ /
    | | /
    `..'`-._ _____, ..'
    / | | | |\ \
    / /| | | | \ \
    / / | | | | \ \
    /_/ |_| |_| \_\
    |__\ |__\ |__\ |__\
    ostholz
    ostholz
    Apr 15, 2016
    26
    呐泥? 星矢?
    clino
    clino
    Apr 15, 2016❤️1
    27
    @vtea 你要是会被盯上你就有可能会获得和平奖的
    fany
    fany
    Apr 15, 2016
    28
    大家好，我是某讯管家负责人，从我的观点来看，这个报告写的还是很不错的，有理有条，各个部分分析的都很到位，至于木马是怎么被放置到网关上的这个问题，我觉得应讠
    shyrock
    shyrock
    Apr 15, 2016
    29
    http://image.3001.net/images/20160412/14604534983828.jpg!small

    我就想知道，这个源代码是哪里来的？
    raptium
    raptium
    Apr 15, 2016 via iPhone
    30
    @shyrock 看起来是 ida
    jy02201949
    jy02201949
    Apr 15, 2016
    31
    怎么检测中没中
    shyrock
    shyrock
    Apr 15, 2016
    32
    @raptium ida 反编译？出来的源码命名还能有含义的？
    DesignerSkyline
    DesignerSkyline
    Apr 15, 2016
    33
    @shyrock IDA+某个价格相当贵的插件
    ZhaoMiing
    ZhaoMiing
    Apr 15, 2016
    34
    @fany 好冷
    dapang1221
    dapang1221
    Apr 15, 2016
    35
    这波太 6 了，腾讯为我们演示了手拆木马，接下来就是赵家手拆腾讯了
    RobertYang
    RobertYang
    Apr 16, 2016 via Android
    36
    不错 BAT 里面就服 B 了，服 B
    lanyusea
    lanyusea
    Apr 16, 2016 via iPhone
    37
    @shyrock 理论上 ida 可以做到
    zmj1316
    zmj1316
    Apr 16, 2016 via Android
    38
    为什么不可能是配合路由器完成感染和监控？路由器里面劫持要容易的多啊
    jqw1992
    jqw1992
    Apr 16, 2016
    39

    @Mutoo 算么
    @clino 是不是？
    Tink
    Tink
    Apr 16, 2016 via iPhone
    40
    @RobertYang 这不是 T 干的吗
    wizardforcel
    wizardforcel
    Apr 16, 2016 via Android
    41
    消灭人类暴政，世界属于 AI 。
    c4tn
    c4tn
    Apr 16, 2016 via iPhone
    42
    特侦的马也敢分析，妈的，又得重写了
    springx
    springx
    Apr 16, 2016
    43
    @fany 段子不错=w=
    wxunm60tAn8bODGs
    wxunm60tAn8bODGs
    Apr 16, 2016
    44
    @c0878 这种人才肯定会被爱惜的。
    Myprincess
    Myprincess
    Apr 16, 2016
    45
    方校长不开心
    plqws
    plqws
    Apr 16, 2016
    46
    只有我一个人觉得可能是腾讯电脑管家的炒作么…
    如果是真的话还真的要对腾讯刮目相看了 hhhhh
    tinkerer
    tinkerer
    Apr 16, 2016 via Android
    47
    (｡･ω･｡) 赵家人不开心
    blanu
    blanu
    Apr 16, 2016 via iPhone
    48
    不过是不是只要不通过自带的升级方式升级这些软件就行了呢。。。
    kofip
    kofip
    Apr 16, 2016
    49
    @blanu 只要你上网就行了，你的任何操作，都可以劫持，只是人家想不想劫持。
    wbsdty331
    wbsdty331
    Apr 16, 2016 via Android❤️2
    50
    删除
    %windir%\ntshrui.dll
    %windir%\msls32.dll
    %windir%\AduioSes.dll
    %CommonProgramfiles%\TEXTCONV\*elp.dll
    %windir%\msaodex.dll
    %CommonProgramfiles%\Microsoft Shared\Web Folders\msaodex.dll
    C:\WINDOWS\Temp\{E53B9A13-F4C6-4d78-9755-65C029E88F02}\soft.prog
    同目录的 time().v
    drive.d
    ie.his
    time().hd
    RtkBDll.dll
    QQHelperdll.dll
    所有后缀名为.k 的文件
    然后修复 lsp ，用 pc hunter 这类 ark 工具修复一下被挂的钩子和注入的 dll
    应该就没问题了

    我写个专杀工具好了
    2333
    RobertYang
    RobertYang
    Apr 16, 2016 via Android
    51
    @Tink 在于腾讯敢报啊
    RobertYang
    RobertYang
    Apr 16, 2016 via Android
    52
    @wbsdty331 吃顿好
    Tink
    Tink
    Apr 16, 2016 via iPhone
    53
    @RobertYang 腾讯就是 T 啊
    shakespaces
    shakespaces
    Apr 16, 2016 via Android
    54
    win10 没写在系统版本里面，会被影响吗？
    lsmgeb89
    lsmgeb89
    Apr 16, 2016
    55
    默默关注！
    ANT1FLAG
    ANT1FLAG
    Apr 16, 2016
    56
    为什么都说和政府有关？没看出来哪里是个人做不到的啊
    EYSAEX
    EYSAEX
    Apr 16, 2016 via Android
    57
    @wbsdty331 吼啊，中央也资瓷
    wbsdty331
    wbsdty331
    Apr 16, 2016
    58
    @RobertYang t/271538
    Quaintjade
    Quaintjade
    Apr 16, 2016
    59
    @ANT1FLAG
    不一定是政府，但政府可能性较高，也有可能是商业间谍行为。

    从技术看，开发成本应该不低。然而既不是为了炫技，也不是直接窃取财产，而是潜伏着监控，说明目标利益来源于监控的数据。
    另一方面，但从木马本身来看，制作者如果在互联网上很难获取数据。

    有几种获取数据的可能：
    * 配合其他渠道（比如控制路由），看似发到大网站的数据，其实转发到真正收集数据的服务器。
    * 制作者就在链路上，比如内网里，或者运营商节点上。
    * 各大网站与制作者有合作，看似应该被丢弃的数据其实会被接收和记录。
    * 其他[?]
    ovear
    ovear
    Apr 16, 2016
    60
    http://drops.wooyun.org/tips/14911
    评论 PGP 可怕
    inoricho
    inoricho
    Apr 16, 2016
    61
    @wbsdty331 细软跑。。
    Bryan0Z
    Bryan0Z
    Apr 16, 2016 via Android
    63
    @ovear 卧槽，真的假的
    inoricho
    inoricho
    Apr 16, 2016
    64
    @ovear 。。。。可啪
    XhstormR
    XhstormR
    Apr 16, 2016 via Android
    65
    首先我要证实一下大家的猜测：这个木马确实和 G0V 有关系，属于一款特殊用途的专用木马。
    jhaohai
    jhaohai
    Apr 16, 2016 via iPhone
    67
    这个应该就是公安部的金盾吧，传说耗资比 gfw 大，在各大运营商的骨干网上都有部署
    bookit
    bookit
    Apr 16, 2016
    68
    @XhstormR 针对哪一类的人？还是所有人？
    0xC0000005
    0xC0000005
    Apr 16, 2016
    69
    这个木马主要特别在两点：
    1.涵盖几乎所有主流安防软件的巨大投入；
    2.极其特殊的数据通信方式和针对目标
    RobertYang
    RobertYang
    Apr 17, 2016 via Android
    70
    @Tink 。。。打错了😂
    wbsdty331
    wbsdty331
    Apr 23, 2016❤️1
    71
    https://github.com/wbsdty331/DCM-Killer
    专杀已更新，但只能删除部分文件，被挂的钩子和 DLL 仍需自己解除，聊胜于无吧。
    Aquamarine
    Aquamarine
    May 1, 2016
    72
    @wbsdty331 请问下，挂钩只存在 SPI/LSP 中吧？
    wbsdty331
    wbsdty331
    May 4, 2016 via Android
    73
    @Aquamarine 应该还在进程中存在 你需要多留心
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   4145 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 177ms · UTC 09:00 · PVG 17:00 · LAX 01:00 · JFK 04:00
    ♥ Do have faith in what you're doing.