11对战平台挂马问题解析

选择字号：超大标准技术小哥发布于2016年09月02日属于解决方案分享栏目 0个评论 5139人浏览

【问题现象】

玩11对战平台途中客户机会多出很多垃圾程序或者报错或者机器会蓝屏重启

QQ截图20160902104835.png

QQ截图20160902104914.png

【问题解析】

1、有木马就肯定有程序，那么就先按老办法用windowsmonitor或者processmonitor抓下整个过程，根据现场的报错远程来看是有一个进程名为ADODB.Stream.dllradDEDD6.tmp.eXe的程序

QQ截图20160902123818.png

我们再看下windowsmonitor的日志（看不清楚的可以点击图片查看放大后的内容）

QQ截图20160902124006.png

从这里我们可以得知有程序运行了cmd.exe创建了vbs脚本后开始出现的内容，但是windowsmonitor没记录到cmd.exe的父进程，如日志图中的第一图，父进程为5904，路径为0。之前讲过只要日志抓取的信息中出现0的则只有PID信息是准确的，其他信息为错误的

尝试用processmonitor抓取时候发现运行起来机器就会蓝屏重启，显然这是有针对性的。

2、既然应用层windowsmonitor抓不到详细信息，那么我们只能从网络层入手。程序想后台下载就得走http协议，这样我们就部署下httpanalyzer，抓下程序的网络层信息

从图中可以清晰看出，在程序部署完后的三分钟左右就出现了wscript.com以及后面的木马程序ADODB.Stream.dllradDEDD6.tmp.eXe右那我们就从windowsmonitor中的那个www.lolssss.com域名入手，看下哪个程序最先访问的这个域名。

QQ截图20160902125023.png

（下面都是尺寸比较大的图片，看不清楚的可以点击图片查看放大后的内容）

这里我们得知居然是11homepage.exe访问的木马网站，为了验证该域名是否为挂马网站可以拿360或者任意带浏览器防护的安全软件都可以访问测试

QQ截图20160902130006.png

经过咨询11对战平台开发后他们确认www.lolssss.com不是该公司域名，那么正常情况下程序不应该会访问。这里可能猜测是有js插入，也有可能是11访问的某个域名被劫持到这个www.lolssss.com上了。那我们顺着JS插入这条线索继续往上找

我们可以看到是http://game.happy.qq.huaxinddc.com/rd/back/lm2.js中指向到www.lolssss.com的，再继续根据这个思路往上查找

顺着这个思路继续看

看到这里时候我们才得知是11homepage.exe访问的http://pt.5211game.com/Plat/LoginArea/NewsList/news.shtml?userid=0 页面才有了后面的问题，拿到这个情况后第一时间与11对战平台询问确认该JS并非程序自带的。为了近一步确认改问题的原因，我们用浏览器手动访问了该页面